Класс
Net-Worm
Платформа
Win32

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:
  • файловые;
  • загрузочные;
  • макровирусы;
  • скриптовые.
Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Net-Worm

Размножаются в компьютерных сетях. Отличительной особенностью данного типа червей является то, что им не нужен пользователь в качестве звена в цепочке распространения (непосредственно для активации). Часто такой червь ищет в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости. Для заражения таких компьютеров червь посылает специально сформированный сетевой пакет (эксплойт), в результате чего код (или часть кода) червя проникает на компьютер-жертву и активируется. Иногда сетевой пакет содержит только ту часть кода червя, которая загружает файл с основным функционалом и запускает его на исполнение. Встречаются и сетевые черви, которые используют сразу несколько эксплойтов для своего распространения, что увеличивает скорость нахождения жертвы.

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

"Nimda" является Интернет-червем, распространяющимся по сети Интернет в виде вложенных файлов в сообщениях электронной почты, по ресурсам локальных сетей, а также проникающий на незащищенные IIS-серверы. Оригинальный файл-носитель червя имеет имя README.EXE и представляет собой программу формата Windows PE EXE, размером около 57 килобайт и написанную на языке программирования Microsoft C++.

Для активизации из писем электронной почты "Nimda" использует брешь в системе безопасности Internet Explorer, так что владелец незащищенного компьютера даже не заметит факта заражения. После этого червь инициирует процедуры внедрения в систему, распространения и запускает деструктивные функции.

В теле червя содержится строка:

Concept Virus(CV) V.5, Copyright(C)2001 R.P.China

Внедрение в систему

В процессе внедрения червь "разбрасывает" свои копии в следующих местах:

  1. Директория Windows под именем MMC.EXE
  2. Системная директория Windows под именем RICHED20.DLL (одновременно уничтожая оригинальный файл RICHED20.DLL, входящий в поставку Windows)
  3. Системная директория Windows под именем LOAD.EXE

Последний файл регистрируется в секции автозапуска конфигурационного файла SYSTEM.INI следующим образом:

[boot]
shell=explorer.exe load.exe -dontrunold

Червь также копирует себя во временную директорию Windows со случайными именами MEP*.TMP и MA*.TMP.EXE. Например:

mep01A2.TMP
mep1A0.TMP.exe
mepE002.TMP.exe
mepE003.TMP.exe
mepE004.TMP

Файлы формата EXE этого типа, а также файл LOAD.EXE (см. выше) имеют атрубуты "скрытый" и "системный".

После этого "Nimda" запускает процедуру распространения. В зависимости от версии Windows червь использует для этого процесс EXPLORER.EXE и, таким образом, может маскировать свои действия под фоновым процессом EXPLORER.

Распространение по электронной почте

Для отправки с зараженных компьютеров писем электронной почты "Nimda" создает SMTP-соединение и с его помощью пересылает свои копии на другие адреса электронной почты.

Для получения целевых адресов электронной почты червь использует следующие уловки:

  1. сканирует все файлы с расширением .HTM и .HTML и выбирает из них найденные адреса
  2. при помощи MAPI-функций получает доступ к почтовым ящикам MS Exchange и также считывает из них адреса.

Рассылаемые "Nimda" письма имеют формат HTML и выглядят следующим образом:

Тема письма: пустая или случайная
Тело письма: пустое
Вложенный файл: README.EXE

Тема письма выбирается случайным образом в соответствии с названием случайного файла из папки "Мои Документы" или любого другого файла на диске C:

Путь к папке "Мои Документы" червь берет из ключа системного реестра Windows:

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerShell FoldersPersonal

Для внедрения в систему из зараженных писем электронной почты "Nimda" использует брешь в системе безопасности Internet Explorer которая позволяет автоматически выполнить вложенный исполняемый файл. Данная брешь была обнаружена в конце марта 2001 г. и описана в бюллетене Microsoft (http://www.microsoft.com/technet/security/bulletin/MS01-020.asp)

"Заплатка". устраняющая данную брешь доступна для загрузки по адресу: http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp

Распространение по локальной сети

Для распространения по локальной сети червь сканирует локальные и установленные сетевые диски и заражает их следующими способами:

1) Создает файлы со случайными именами и расширениями .EML (в 95% случаев) или .NWS (в 5% случаев) и "разбрасывает" их на найденных дисках. Эти расширения являются стандартными для писем электронной почты. В результате, компьютеры (как зараженный, так и подключенные к локальной сети) могут содержать тысячи подобных файлов, в которых содержится копия червя.

Эти файлы являются электронными письмами в формате HTML, содержащими копию "Nimda" в виде вложенного объекта. При запуске таких файлов срабатывает описанная выше брешь в защите Intrenet Explorer и на компьютер немедленно внедряется копия червя.

2) Червь ищет файлы, в именах и расширениях которых присутствуют следующие комбинации:

Имена: *DEFAULT* , *INDEX* , *MAIN* , *README*
Расширения: .HTML, .HTM, .ASP

Если такой файл найден, червь создает в одной папке с ним файл README.EML (аналогичный создаваемым в п.1). Затем он модифицирует найденный файл, добавляя в него короткую JavaScript-программу. При просмотре модифицированной страницы JavaScript-программа загружает README.EML, что приводит к заражению червем.

В результате червь заражает существующие Web-сайты и может проникать на компьютеры посетителей сайтов.

Внедрение на IIS-серверы

Атака IIS-серверов происходит способом, примененном в IIS-черве "BlueCode". Для внедрения на удаленные IIS-серверы червь использует команду "tftp", активизирует временный TFTP-сервер на зараженном компьютере и с его помощью загружает на целевую машину свою копию (ADMIN.DLL). Далее, специальным запросом эта копия активизируется.

Деструктивные функции

"Nimda" имеет опасный побочный эффект, который может допустить утечку конфиденциальной информации с зараженных компьютеров. Червь добавляет пользователя под именем "Guest" в группу пользователей "Администраторы". Таким образом, "Guest" имеет полный доступ к ресурсам компьютера.

Помимо этого "Nimda" незаметно открывает все локальные диски для полного доступа всех желающих.

Известно несколько модификаций червя "Nimda".

Практически все из них полностью повторяют первоначальную версия червя и отличаются только "перебитыми" тектовыми строками.

Nimda.b

Является первоначальной версией червя, упакованной компрессором PCShrink (упаковщик выполняемых файлов Win32). В коде червя строки:
README.EXE , README.EML заменены на:
PUTA!!.SCR , PUTA!!.EML

Nimda.c

Является первоначальной версией червя, упакованной компрессором UPX. Более никаких отличий нет.

Nimda.d

Был разослан по сетям Интернет в конце октября 2001. Распространялся в упакованном виде (компрессор PECompact), размер файла - около 27K.

Основное отличие от первоначальной версии червя - измененная строка-"копирайт", которая в этом варианте червя выглядит следующим образом:

HoloCaust Virus.! V.5.2 by Stephan Fernandez.Spain

Nimda.e

Перекомпилированный вариант червя. Есть незначительные изменения в коде (некоторые процедуры слегка подправлены или соптимизированы). Был обнаружен в "живом виде" в конце октября 2001.

"Видимыми" отличиями от первоначальной версии червя являются следующие изменения:

Имя файла-вложения:
SAMPLE.EXE(вместо README.EXE)

Имя DLL-библиотек:
HTTPODBC.DLL или COOL.DLL (вместо ADMIN.DLL)

Строка-"копирайт" в этой версии выглядит так:

Concept Virus(CV) V.6, Copyright(C)2001, (This's CV, No Nimda.)

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com

Нашли неточность в описании этой уязвимости? Дайте нам знать!
Kaspersky IT Security Calculator:
Оцените ваш профиль кибербезопасности
Узнать больше
Встречай новый Kaspersky!
Каждая минута твоей онлайн-жизни заслуживает топовой защиты.
Узнать больше
Confirm changes?
Your message has been sent successfully.