Email-Worm.Win32.Xanax

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Email-Worm

Размножаются по каналам электронной почты. При этом червь отсылает свою копию в виде вложения в электронное письмо или ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, ссылку (URL) на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях результат одинаков — активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены: • прямое подключение к SMTP-серверу, с использованием встроенной в код червя почтовой библиотеки; • использование сервисов MS Outlook; • использование функций Windows MAPI. Почтовые черви используют различные источники для поиска почтовых адресов, на которые будут рассылаться зараженные письма: • адресная книга MS Outlook; • адресная база WAB; • файлы текстового формата на жестком диске: выделяют в них строки, являющиеся адресами электронной почты; • письма, которые находятся в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма). Многие почтовые черви используют сразу несколько из перечисленных источников. Бывают и другие источники адресов электронной почты, например адресные книги почтовых сервисов с web-интерфейсом.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Этот интернет червь был обнаружен в середине марта 2001. Червь распространяется в электронных письмах и при активизации рассылает себя с зараженных компьютеров. При своем распространении червь использует почтовую систему Microsoft Outlook и рассылает себя по всем адресам, которые хранятся в адресной книге Outlook.

Червь также рассылает себя в IRC-каналы и заражает EXE-файлы в каталоге Windows.

Червь написан на языке C++ и откомпилирован Microsoft Visual C++. Размер червя около 60K, однако он был обнаружен в упакованном виде (сжат утилитой ASPack) с размер зараженного файла около 34K.

При старте червь копирует себя в системный каталог Windows с именами XANAX.EXE и XANSTART.EXE. Файл XANSTART.EXE регистрируется в ключе авто-запуска системного реестра:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
Default = %winsystem%xanstart.exe

где %winsystem% является именем системного каталога Windows. В результате червь стартует при каждом запуске Windows.

Электронная почта

Для рассылки зараженных писем червь создает дополнительный VBS-файл и записывает в него скрипт-программу, которая получает доступ к MS Outlook, открывает адресную книгу, достает оттуда по 1000 адресов из каждого списка адресов и рассылает по ним письма с прикрепленной к ним копией червя. Тема, содержимое письма и имя прикрепленного файла выглядят следующим образом:

Тема сообщения: Stressed? Try Xanax!
Тело сообщения:

Hi there! Are you so stressed that it makes you ill? You're not alone!
Many people suffer from stress, these days. Maybe you find Prozac too
strong? Then you NEED to try Xanax, it's milder. Still not convinced?
Check out the medical details in the attached file. Xanax might change
your life!

Вложение: xanax.exe

Заражение EXE-файлов

Червь заражает все EXE-файлы в каталоге Windows, кроме файлов, имена которых начинаются с букв: E, P, R, S, T или W. При заражении червь "сдвигает" тело файла-жертвы вниз, а сам записывается в начало файла.

Заражение IRC-каналов

Червь ищет на дисках установленного клиента mIRC. Поисх идет в каталогах:

mirc
Program Filesmirc

на дисках C:, D:, E: и F:

Если mIRC-клиент найден, червь создает в том же каталоге файл SCRIPT.INI, который содержит mIRC-команды, посылающие файл червя (файл XANAX.EXE) всем пользователям, подключающимся к зараженному каналу.

Прочее

При запуске из файла, в имени которого предпоследняя буква - 'R' (xxxRx.EXE), червь выводит сообщение:

Поскольку имя файла XANSTART.EXE именно такое, и этот файл зарегистрирован в системном реестре на авто-запуск, то это сообщение будет появляться при каждом старте Windows.

Червь создает дополнительные файлы в системе:

В системном каталоге Windows: HOSTFILE.EXE

В каталоге Windows: WINSTART.BAT, XANAX.SYS

Файл HOSTFILE.EXE является файлом "лечения" при запуске зараженных файлов. Червь записывыет в него вылеченную копию файла-носителя и запускает ее на выполнение.

Файл XANAX.SYS содержит текст:

Win32.HLLP.Xanax (c) 2001 Gigabyte

Файл WINSTART.BAT содержит BAT-команды, которые выводят текст:

Do not take this medication with ethanol, Buspar (buspirone), TCA
antidepressants, narcotics, or other CNS depressants.
This combination can increase CNS depression. Be sure not to take other
sedative, benzodiazepines, or sleeping pills with this drug. The combinations
could be fatal. Do not smoke or drink alcohol when taking Xanax. Alcohol can
lower blood pressure and decrease your breathing rate to the point of
unconsciousness. Tobacco and marijuana smoking can add to the sedative
effects of Xanax.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com