Родительский класс: VirWare
Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:- файловые;
- загрузочные;
- макровирусы;
- скриптовые.
Класс: Net-Worm
Размножаются в компьютерных сетях. Отличительной особенностью данного типа червей является то, что им не нужен пользователь в качестве звена в цепочке распространения (непосредственно для активации). Часто такой червь ищет в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости. Для заражения таких компьютеров червь посылает специально сформированный сетевой пакет (эксплойт), в результате чего код (или часть кода) червя проникает на компьютер-жертву и активируется. Иногда сетевой пакет содержит только ту часть кода червя, которая загружает файл с основным функционалом и запускает его на исполнение. Встречаются и сетевые черви, которые используют сразу несколько эксплойтов для своего распространения, что увеличивает скорость нахождения жертвы.Подробнее
Платформа: Win32
Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.Описание
Technical Details
Вирус-червь. Размножается через IRC-каналы, а также по локальным сетям, если в них есть ресурсы, открытые на доступ.
При запуске инсталлирует набор своих компонент в системный каталог Windows в подкаталоги zxz и/или zx. Регистрирует в реестре Windows ключ автозапуска клиента mIRC
KLM\SoftwareMicrosoftWindowsCurrentVersionRunupdateWins
и запускает его, скрывая процесс при помощи утилиты HideWindows.
Червь соединяется с IRC-сервером и запускает на исполнение свои скрипты. Помимо процедур DDoS-атак и флудинга IRC-каналов, также сканирует 445 порт других пользователей IRC.
Размножение
При обнаружении открытого 445 порта, червь запускает bat-файлы "sencs.bat" и "incs.bat", которые ищут на удаленном компьютере открытые ресурсы и пытаются подобрать к ним пароли из списка:
"","admin", "administrator", "root", "admin", "test", "test123", "temp", "temp123", "pass", "password", "changeme"
В случае успеха - открывает socket на 445 порту и пересылает по нему на этот компьютер троянскую программу TrojanDownloader.Win32.Apher.gen, после чего запускает ее. Данный троянец загружает из Интернета c сайта "www.q8kiss.net" самораспаковывающийся архив с полной версией червя и инсталлирует его в систему.
Дополнительно
Червь состоит из следующих компонент:
Deta.exe является утилитой "HideWindows" (Win32 EXE file).
fControl.a - IRC скрипт, осуществляющий процедуру сканирования портов и заражение удаленных компьютеров.
IfControl.a - IRC скрипт, осуществляющий флудинг произвольных IRC-каналов и DDoS-атаки
(пинг различных адресов)
incs.bat - BAT файл, пытающийся подобрать пароли к сетевым ресурсам.
Libparse.exe является утилитой "PrcView" (Win32 EXE file).
psexec.exe является утилитой "PsExec" (Win32 EXE file)
rcfg.ini - IRC INI файл, выполняющий загрузку остальных скриптов
rconnect.conf - конфигурационный файл
reader.w - список никнеймов, под которыми червь устанавливает соединение с IRC-каналами
Sa.exe - TrojanDownloader.Win32.Apher
scontrol.a - вспомогательный IRC скрипт
sencs.bat - BAT файл, пересылаемый на удаленный компьютер, для запуска TrojanDownloader
systrey.exe - переименованный mIRC клиент (Win32 EXE file)
Смотрите также
Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com