Kaspersky Threats

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

файловые;
загрузочные;
макровирусы;
скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: P2P-Worm

Размножаются по каналам файлообменных пиринговых сетей (например, Kazaa, Grokster, EDonkey, FastTrack, Gnutella и др.). Механизм работы большинства подобных червей достаточно прост: для внедрения в P2P-сеть червю достаточно скопировать себя в каталог обмена файлами, который обычно расположен на локальной машине. Всю остальную работу по распространению вируса P2P-сеть берет на себя: при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоставит весь необходимый сервис для скачивания файла с зараженного компьютера. Существуют более сложные P2P-черви, которые имитируют сетевой протокол конкретной файлообменной системы и на поисковые запросы отвечают положительно — при этом червь предлагает для скачивания свою копию.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Интернет-червь, распространяющийся в "peer-to-peer" сетях Kazaa. Червь размножается создавая свои копии в общедоступных каталогах этой сети.

Червь является приложением Windows (PE EXE), написан на MS Visual C++, имеет размер около 205K.

При старте червь копирует себя с именем "CassieWorm.exe" в каталог Windows и регистрирует этот файл в ключе авто-запуска системного реестра:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
CassieWorm = %WindowsDir%CassieWorm.exe

Затем червь выводит ложное сообщение об ошибке:

WinZip Self-Extractor
Bad CRC checksum, terminating extraction. If the file was downloaded please download it again.

Для распространения по сети Kazaa червь:

создаёт подкаталог "Shared Folder" в каталоге Windows
регистрирует этот каталог как каталог обмена файлами Kazaa, для этого создаёт ключ реестра:

HKCUSoftwareKazaaLocalContent
Dir0 = "012345:%WindowsDir%Shared Folder"
DisableSharing = 0

считывает местоположение выполняемых файлов Kazaa из ключа:
HKLMSOFTWAREKazaaCloudLoad
ExeDir = %KazaaExeDir%
регистрирует выполняемый файл системы Kazaa ключе авто-запуска:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun KAZAA = "%KazaaExeDir%Kazaa.exe /SYSTRAY"
копирует себя в каталог "Shared Folder" с именами:
warcraft 3 maphack.exe
counterstrike hack pack.exe
diablo 2 pindlebot.exe
diablo 2 maphack.exe
playstation 2 emulator fanix.exe
kazaa participation hack.exe
cable modem ultility pack.exe
winzip full version key generator.exe
jamella's diablo 2 editor.exe
winamp plugin pack.exe
pop-up killer.exe
email forger.exe
aim utilities.exe
serials 2k.exe
macromedia dreamweaver key generator.exe
windows xp key generator.exe
grand theft auto 3 key generator.exe
hacking utilities.exe

P2P-Worm.Win32.Cassidy