Email-Worm.Win32.Aliz

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Email-Worm

Email-Worms e-posta yoluyla yayıldı. Solucan, kendisinin bir kopyasını bir e-posta mesajının eki olarak veya bir ağ kaynağındaki dosyasına bir bağlantı olarak gönderir (örn., Ele geçirilmiş bir web sitesindeki veya hacker'ın sahip olduğu bir web sitesinde virüslü bir dosyanın URL'si). İlk durumda, virüslü eklenti açıldığında (başlatıldığında) solucan kodu devreye girer. İkinci durumda, virüs bulaşan dosyaya bağlantı açıldığında kod etkinleştirilir. Her iki durumda da, sonuç aynıdır: solucan kodu etkinleştirildi. Email-Worms, virüslü e-posta göndermek için bir dizi yöntem kullanır. En yaygın olanları şunlardır: Windows MAPI işlevlerini kullanarak MS Outlook hizmetlerini kullanarak solucan koduna yerleşik e-posta dizini kullanarak bir SMTP sunucusuna doğrudan bağlantı kullanarak. E-posta solucanları, virüslü e-postaların gönderileceği e-posta adreslerini bulmak için bir dizi farklı kaynak kullanır: MS Outlook'taki adres defteri, sabit sürücüde saklanan bir WAB adres veritabanı .txt dosyaları: solucan, metin dosyalarındaki hangi dizeleri belirleyebilir e-posta adreslerini gelen kutunuzda e-postalar (bazı e-posta-solucanlar gelen kutucukta bulunan e-postalara bile "cevap verir") Birçok e-posta solucanı, yukarıda listelenen kaynaklardan daha fazlasını kullanır. Web tabanlı e-posta hizmetleriyle ilişkili adres defterleri gibi başka e-posta adresleri kaynakları da vardır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, Internet üzerinden yayılan ve virüslü e-postalara bağlanan bir virüs solucanıdır. Solucanın kendisi yaklaşık 4Kb uzunluğunda bir Windows PE EXE dosyasıdır ve Assembler'de yazılmıştır. Ana solucan kodu, dahili bir aPLib veri sıkıştırma algoritması tarafından sıkıştırılır, böylece orijinal solucan kodu yaklaşık 6Kb'dir.

Virüs bulaşan mesajlar şunları içerir:

Konu : farklı (aşağıya bakınız)
Gövde : boş HTML mesajı
Eklenti : whatever.exe

Konu değişkenlerden rastgele oluşturulmuştur (str1 + str2 + ... + str5):

 dizge1 ---- Fw: Fw: Re:sonra: str2 str3 str4 str5 ---- ---- ---- ---- Kontrol etmek için harika bir web sitesi!       Senin için güzel bir site!        Sıcak resimler ben :-) buldum      Bazı urls görmek için?       Komik resimler hehe ;-) garip şeyler - kontrol et               funky mp3'ler                                 büyük bok                                 Ilginç müzik                                birçok bilgi                                

Virüs bulaşmış bir iletiden çalıştırmak için, solucan bir güvenlik ihlali kullanır ( "Nimda" solucanının kullandığı benzere benzer bir IFRAME açığı). Böylelikle solucan, sadece mesajın okunması veya ön izlenmesi üzerine virüslü e-postadan aktif hale getirilebilir.

Virüs bulaşmış bir dosya çalıştırıldığında, paket açma yordamı kontrolü alır, ana solucan kodunu bellekten çıkartır ve ona atlar. Ana kod daha sonra virüslü iletileri WAB (Windows Adres Defteri) içinde bulunan e-posta adreslerine gönderir. E-posta göndermek için solucan SMTP sunucusunu varsayılan olarak bağlar.

Solucan kendini sisteme yüklemez ve artık aktif değildir (kullanıcının ekli bir e-postayı tekrar tıklatması durumları hariç).

Solucan yükü rutinine sahip değildir ve hiçbir şekilde kendini göstermez.

E-posta yayma yordamı zayıf hatalar içeriyor ve solucan birçok e-posta istemci-sunucu yapılandırması altında yayılamıyor gibi görünüyor.

Solucanla ilgili en ilginç şey, aktive edici ve yayıcı rutinin (bu ana rutindir), yaklaşık 3K'lık yürütülebilir kodla dolu olmasıdır.

Solucan aşağıdaki metni içerir:

::: iworm.alizee.by.mar00n! Ikx2oo1 :::
Bu yazıyı yazarken bu metin birçok av açıklama sitelerine eklendiğini fark ettim, çünkü bu aptal solucan kolayca bir aldatmaca olabilir. merak ediyorum ki, '[companyname]' in hangi riskli saldırılardan kurtulabileceğine dair yüksek riskli solucanı durdurdu! ya da böyle boktan. heh, ya da bu yazı yüzünden virüsümü boykot ediyorlar. iyi, yoksul avın bu solucanı eklemesi için yeterince kolaydır; sadece kodlayıcı # 2 olarak kaynaklandığı için ... btw, loveletter * 2 win32asm gücü ve sadece 4k exe dosyası. heh, vbs kiddies, phear win32asm. :) thx için: bumblebee! 29a, asmodeus! ikx. selamlar: starzer0! ikx, t-2000! ir, ultras! mtx ve tatlı gigabyte ... btw, burgemeester van sneek: ik zoek nog een baantje ... (alignmentfillingtext)

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com