P2P-Worm.Win32.Gotorm

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: P2P-Worm

Размножаются по каналам файлообменных пиринговых сетей (например, Kazaa, Grokster, EDonkey, FastTrack, Gnutella и др.). Механизм работы большинства подобных червей достаточно прост: для внедрения в P2P-сеть червю достаточно скопировать себя в каталог обмена файлами, который обычно расположен на локальной машине. Всю остальную работу по распространению вируса P2P-сеть берет на себя: при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоставит весь необходимый сервис для скачивания файла с зараженного компьютера. Существуют более сложные P2P-черви, которые имитируют сетевой протокол конкретной файлообменной системы и на поисковые запросы отвечают положительно — при этом червь предлагает для скачивания свою копию.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Вирус-червь. Распространяется по peer-to-peer сети Kazaa. Кроме этого содержит шпионскую функцию по сбору информации об установленных на зараженном компьютере некоторых игр. Червь является приложением Windows (PE EXE-файл), написан на Visual С и имеет размер 196 608 байт.

Инсталляция

При инсталляции червь выводит на экран ложное сообщение об ошибке при распаковке архива:

После чего копирует себя в каталог Windows с именем:

mrowyekdc.exe

Эта копия червя затем регистрируется в ключе автозапуска системного реестра:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun
  SVCHOST = %WindowsDir%mrowyekdc.exe

Распространение

Червь создает в каталоге Windows подкаталог "User Files", в который копирует себя под следующими именами:

Starcraft + Broodwar 1.10 map hack.exe
Starcraft + Broodwar 1.10 no-cd hack.exe
Diablo 2 map hack.exe
Diablo 2 no-cd hack.exe
Jamella's Diablo 2 hero editor.exe
Warcraft 3 map hack.exe
Warcraft 3 stat hack.exe
Warcraft 3 no-cd hack.exe
Warcraft 3 Frozen Throne map hack.exe
Warcraft 3 Frozen Throne cd-cd hack.exe
The Frozen Throne map hack.exe
Counterstrike hacks.exe
Counterstrike aim hack.exe

Данный каталог прописывается в системном реестре Windows как Local Content системы файлообмена Kazaa:

 HKCUSoftwareKazaaLocalContent
  dir0 = 012345:%Windir%User Files
  DisableSharing = "0

В результате чего данные файлы становятся доступны для загрузки другими пользователями P2P сетей.

Шпионская функция

Червь проверяет наличие в системном реестре ключей относящихся к популярным компьютерным играм (Counter-Strike, Diablo, Warcraft, Starcraft) и отсылает найденные данные "хозяину" червя, используя прямое подключение к SMTP-серверу.

Прочее

Червь проверяет системную дату и время и если месяц активации червя - меньше чем август, он перестает работать и удаляет свои ключи из системного реестра.

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com