Email-Worm.Win32.BadtransII

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Email-Worm

Email-Worms e-posta yoluyla yayıldı. Solucan, kendisinin bir kopyasını bir e-posta mesajının eki olarak veya bir ağ kaynağındaki dosyasına bir bağlantı olarak gönderir (örn., Ele geçirilmiş bir web sitesindeki veya hacker'ın sahip olduğu bir web sitesinde virüslü bir dosyanın URL'si). İlk durumda, virüslü eklenti açıldığında (başlatıldığında) solucan kodu devreye girer. İkinci durumda, virüs bulaşan dosyaya bağlantı açıldığında kod etkinleştirilir. Her iki durumda da, sonuç aynıdır: solucan kodu etkinleştirildi. Email-Worms, virüslü e-posta göndermek için bir dizi yöntem kullanır. En yaygın olanları şunlardır: Windows MAPI işlevlerini kullanarak MS Outlook hizmetlerini kullanarak solucan koduna yerleşik e-posta dizini kullanarak bir SMTP sunucusuna doğrudan bağlantı kullanarak. E-posta solucanları, virüslü e-postaların gönderileceği e-posta adreslerini bulmak için bir dizi farklı kaynak kullanır: MS Outlook'taki adres defteri, sabit sürücüde saklanan bir WAB adres veritabanı .txt dosyaları: solucan, metin dosyalarındaki hangi dizeleri belirleyebilir e-posta adreslerini gelen kutunuzda e-postalar (bazı e-posta-solucanlar gelen kutucukta bulunan e-postalara bile "cevap verir") Birçok e-posta solucanı, yukarıda listelenen kaynaklardan daha fazlasını kullanır. Web tabanlı e-posta hizmetleriyle ilişkili adres defterleri gibi başka e-posta adresleri kaynakları da vardır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, Win32 sistemleri altında yayılan bir kurtçuk. Virüs, virüs bulaşmış dosyalar ile birlikte e-posta iletileri gönderir ve virüslü sistemlerden bilgi çalmak için casusluk yapan bir Truva atı bileşeni yükler. Solucan 2001 yılında Kasım ayında keşfedildi.

Solucan kendisi bir Win32 yürütülebilir dosyası (PE EXE dosyası) 'dir. Sıkıştırılmış formda vahşi bulundu ve yaklaşık 29Kb büyüklüğündedir. Sıkıştırıldıktan sonra, sonsuz dosya uzunluğu yaklaşık 60Kb olur.

Solucan, Solucan ve Truva olmak üzere iki ana bileşenden oluşur. "Solucan" bileşeni virüslü iletileri gönderir ve "Truva atı" bileşeni, virüslü bilgisayarlardan belirli bir e-posta adresine bilgi (kullanıcının bilgileri, RAS verileri, önbelleğe alınmış parolalar, klavye günlüğü) gönderir. Aynı zamanda kodunda bir "keylogger" program gövdesini tutar ve yeni bir makine enfekte ederken sisteme yükler.

Sistemi enfekte

Virüs bulaşmış bir dosya çalıştırıldığında (kullanıcı ekli bir dosyayı tıklatıp etkinleştirdiğinde ya da solucan IFRAME güvenlik ihlali yoluyla denetim kazanırsa), solucan kodu denetimi kazanır. Her şeyden önce, bileşenlerini sisteme indirir (kurar) ve sistem kayıt defterine kaydeder.

Yüklü Truva dosya adı, hedef dizin ve kayıt defteri anahtarı isteğe bağlıdır. Bunlar, dosya ucundaki Truva dosyasında şifrelenmiş biçimde depolanır. Bir bilgisayar korsanı bunları bir kurbanın makinesine göndermeden önce veya bir Web sitesine koymadan önce yapılandırabilir.

Solucan ayrıca sisteme ek bir klavye hooker (Win32 DLL dosyası) düşer ve sonra bir klavye tarafından girilen metin üzerinde casusluk için bunu kullanır. DLL dosya adı da isteğe bağlıdır.

Diğer isteğe bağlı özellikler şunlardır:

- Kurulum tamamlandığında solucan orijinal virüslü dosyayı siler
- klavye günlük dosyasının boyutu

Yayma

Virüs bulaşmış mesajları göndermek için solucan bir SMTP sunucusuna doğrudan bağlantı kullanır. Bir mağdurun e-posta adresleri iki farklı şekilde elde edilir:

# 1. Solucan * .HT * ve * .ASP dosyalarını tarar ve buradan e-posta adreslerini çıkarır.
# 2. MAPI işlevlerini kullanan solucan, gelen kutunun tüm e-postalarını okur ve buradan e-posta adresleri alır.

Daha sonra, solucan enfekte mesajları gönderir. İleti gövdesi HTML formatı içerir ve hassas makinelerdeki virüslü ekleri oluşturmak için bir IFRAME ihlali kullanır.

Mesaj alanları aşağıdaki gibidir:

Gönderen: - Orijinal gönderen veya sahte adres, rastgele seçilen:

"Anna"
"Judy"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
"Yönetici"
"Yönetici"
"Destek"
"Monika Prado"
"Mary L. Adams"
"Anna"
"Judy"
"Tina"

Orijinal gönderici adresi biraz değiştirilmiş: "_" karakteri oradaki e-posta adresinden önce eklenir, örneğin:

"John K. Smith" "Vasja Pupkin" - Orijinal adres

"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> - solucan tarafından gönderildi

Konu : boş ya da "Re:", ya da "Re:" ve ardından gerçek Inbox messsage'den orijinal Konu takip edin (yukarıdaki # 2'ye bakın).
Gövde : boş
Ek : rastgele seçilen "dosyaadı + ext1 + ext2" Burada:

"Dosya adı":

 Resimler (veya PICS) Kartı (veya CARD) görüntüler (veya GÖRÜNTÜLER) Me_nude (veya ME_NUDE) README Sorry_about_yesterday New_Napster_Site bilgisi news_doc (veya NEWS_DOC) dokümanlar (veya DOCS) HAMSTER Mizah (veya MEMOR) Şişmansın! (veya YOU_ARE_FAT!) eğlenceli (veya EĞLENCE) SEARCHURL şeyler KURULUM S3MSONG "ext1": .DOC .ZIP .MP3 "ext2": .scr, .pif

Örneğin: "info.DOC.scr"

Solucan, enfekte mesajları aynı adrese iki kez göndermez. Bunu yapmak için, Windows sistem dizinindeki tüm virüslü e-postaları bir PROTOCOL.DLL dosyasında depolar ve yeni bir ileti göndermeden önce bu dosya içeriğini kontrol eder.

Casusluk Truva atı

Bu rutin, çalıntı bilgileri bir günlük dosyasına (isteğe bağlı bir adla) kaydeder ve bu bilgiyi bir anahtarla (isteğe bağlı olarak) şifreler. Bir süre sonra, bu bilgi bir dizi rastgele seçilmiş e-posta adresinden birine gönderilir. Bu adreslerin bir listesi aşağıda yer almaktadır; listede 22 adres ve e-posta sunucusu bulunmaktadır; ve bu mesajlar (email + server) yoluyla gönderilir:

 ZVDOHYIK@yahoo.com mx2.mail.yahoo.com udtzqccc@yahoo.com mx2.mail.yahoo.com DTCELACB@yahoo.com mx2.mail.yahoo.com I1MCH2TH@yahoo.com mx2.mail.yahoo.com WPADJQ12@yahoo.com mx2.mail.yahoo.com fjshd@rambler.ru mail5.rambler.ru smr@eurosport.com mail.ifrance.com bgnd2@canada.com mail.canada.com muwripa@fairesuivre.com fs.cpio.com rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net eccles@ballsy.net inbound.ballsy.net.criticalpath.net suck_my_prick@ijustgotfired.com mail.monkeybrains.net suck_my_prick4@ukr.net mail.ukr.net thisisno_fucking_good@usa.com usa-com.mr.outblaze.com S_Mentis@mail-x-change.com mail-fwd.rapidsite.net YJPFJTGZ@excite.com mta.excite.com JGQZCD@excite.com mta.excite.com XHZJ3@excite.com mta.excite.com OZUNYLRL@excite.com mta.excite.com tsnlqd@excite.com mta.excite.com cxkawog@krovatka.net Instagram Hesabındaki Resim ve Videoları imap.front.ru ssdn@myrealbox.com smtp.myrealbox.com

Vahşi-Bulunan

24 Kasım 2001'de vahşi olarak bulunan bu solucan varyantı aşağıdaki seçeneklere sahiptir:

Kendisini bir Windows sistem dizinine KERNEL32.EXE adıyla yükler ve aşağıdaki kayıt defteri anahtarına kaydeder:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce Kernel32 = kernel32.exe

KDLL.DLL adıyla bir klavye fahişe düşer. Günlük bilgisi, CP_25389.NLS ismi ile Windows sistem dizininde saklanır.

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com