Email-Worm.Win32.Yanker

Technical Details

Очень опасный многокомпонентный вирус-червь. Распространяется через интернет в виде архива RAR,
прикрепленного к зараженным письмам.

Зараженные письма содержат:

Заголовок: Hi,my new webpage ;o)

Текст письма: Hi:
Here is my new webpage.Please check it,and give Me
some Advice.

Имя вложения: webpage.rar

Архив RAR содержит в себе файл «webpage.htm» и подкаталог «images», в котором содержатся основные
компоненты вируса:

folder.htt (файл настройки отображения файлов и папок MS Explorer, имеет атрибуты «скрытый/системный»)
main_59.exe (дроппер червя, написан на Delphi, упакован UPX (57k), имеет атрибут «скрытый/системный»)
main_60.exe (утилита PSW.PassDumper, упакован UPX (20k), имеет атрибут «скрытый/системный»)

Кроме того, в каталоге «images» содержится ряд безобидных файлов разных форматов (gif, css),
представляющих собой элементы оформления html-страницы.

Размножение

После того как пользователь разархивировал вирусный архив, червь может получить управление двумя разными способами: при открытии файла «webpage.htm» или при просмотре каталога «images» при помощи MS Explorer.

В обоих случаях червь использует для своего запуска один и тот же эксплойт «CodeBaseExec», встроенный в конец файлов. При помощи него запускается на исполнение файл «main_59.exe».

Данный файл записывает текущий IP-адрес компьютера в файл ip.txt, извлекает из себя и запускает
основной компонент червя — файл «yankee.vbs». Этот файл написан на Visual Basic Script и имеет размер
около 4к. Кроме того, проверяется наличие в системном реестра ключа:

HKCUSOFTWAREyankee
yankee = 1

Если ключ существует — червь прекращает свою работу.

Скрипт «yankee.vbs» при запуске осуществляет следующие действия:

• Отсылает на адрес «xdvirus@peoplemail.com.cn» письмо, в которое помещает все обнаруженные
  пароли (при помощи утилиты PassDumder) и вложение «ip.txt» с IP-адресом пораженного компьютера.

• Отсылает по всем адресам электронной почты, найденным в адресной книге MS Outlook, свой архив «webpage.rar».
• Записывает в системный реестр Windows ключ:

  HKCUSOFTWAREyankee
  yankee = 1

• Удаляет все доступные (не системные) каталоги на жестких и съемных дисках.