Email-Worm.Win32.BadtransII

Teknik detaylar

Bu, Win32 sistemleri altında yayılan bir kurtçuk. Virüs, virüs bulaşmış dosyalar ile birlikte e-posta iletileri gönderir ve virüslü sistemlerden bilgi çalmak için casusluk yapan bir Truva atı bileşeni yükler. Solucan 2001 yılında Kasım ayında keşfedildi.

Solucan kendisi bir Win32 yürütülebilir dosyası (PE EXE dosyası) 'dir. Sıkıştırılmış formda vahşi bulundu ve yaklaşık 29Kb büyüklüğündedir. Sıkıştırıldıktan sonra, sonsuz dosya uzunluğu yaklaşık 60Kb olur.

Solucan, Solucan ve Truva olmak üzere iki ana bileşenden oluşur. "Solucan" bileşeni virüslü iletileri gönderir ve "Truva atı" bileşeni, virüslü bilgisayarlardan belirli bir e-posta adresine bilgi (kullanıcının bilgileri, RAS verileri, önbelleğe alınmış parolalar, klavye günlüğü) gönderir. Aynı zamanda kodunda bir "keylogger" program gövdesini tutar ve yeni bir makine enfekte ederken sisteme yükler.

Sistemi enfekte

Virüs bulaşmış bir dosya çalıştırıldığında (kullanıcı ekli bir dosyayı tıklatıp etkinleştirdiğinde ya da solucan IFRAME güvenlik ihlali yoluyla denetim kazanırsa), solucan kodu denetimi kazanır. Her şeyden önce, bileşenlerini sisteme indirir (kurar) ve sistem kayıt defterine kaydeder.

Yüklü Truva dosya adı, hedef dizin ve kayıt defteri anahtarı isteğe bağlıdır. Bunlar, dosya ucundaki Truva dosyasında şifrelenmiş biçimde depolanır. Bir bilgisayar korsanı bunları bir kurbanın makinesine göndermeden önce veya bir Web sitesine koymadan önce yapılandırabilir.

Solucan ayrıca sisteme ek bir klavye hooker (Win32 DLL dosyası) düşer ve sonra bir klavye tarafından girilen metin üzerinde casusluk için bunu kullanır. DLL dosya adı da isteğe bağlıdır.

Diğer isteğe bağlı özellikler şunlardır:

– Kurulum tamamlandığında solucan orijinal virüslü dosyayı siler
– klavye günlük dosyasının boyutu

Yayma

Virüs bulaşmış mesajları göndermek için solucan bir SMTP sunucusuna doğrudan bağlantı kullanır. Bir mağdurun e-posta adresleri iki farklı şekilde elde edilir:

# 1. Solucan * .HT * ve * .ASP dosyalarını tarar ve buradan e-posta adreslerini çıkarır.
# 2. MAPI işlevlerini kullanan solucan, gelen kutunun tüm e-postalarını okur ve buradan e-posta adresleri alır.

Daha sonra, solucan enfekte mesajları gönderir. İleti gövdesi HTML formatı içerir ve hassas makinelerdeki virüslü ekleri oluşturmak için bir IFRAME ihlali kullanır.

Mesaj alanları aşağıdaki gibidir:

Gönderen: – Orijinal gönderen veya sahte adres, rastgele seçilen:

"Anna"
"Judy"
"Rita Tulliani" "Tina"
"Kelly Andersen"
"Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
"Yönetici"
"Yönetici"
"Destek"
"Monika Prado"
"Mary L. Adams"
"Anna" "Judy"
"Tina"

Orijinal gönderici adresi biraz değiştirilmiş: "_" karakteri oradaki e-posta adresinden önce eklenir, örneğin:

"John K. Smith" "Vasja Pupkin" – Orijinal adres

"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> – solucan tarafından gönderildi

Konu : boş ya da "Re:", ya da "Re:" ve ardından gerçek Inbox messsage'den orijinal Konu takip edin (yukarıdaki # 2'ye bakın).
Gövde : boş
Ek : rastgele seçilen "dosyaadı + ext1 + ext2" Burada:

"Dosya adı":

 Resimler (veya PICS) Kartı (veya CARD) görüntüler (veya GÖRÜNTÜLER) Me_nude (veya ME_NUDE) README Sorry_about_yesterday New_Napster_Site bilgisi news_doc (veya NEWS_DOC) dokümanlar (veya DOCS) HAMSTER Mizah (veya MEMOR) Şişmansın! (veya YOU_ARE_FAT!) eğlenceli (veya EĞLENCE) SEARCHURL şeyler KURULUM S3MSONG "ext1": .DOC .ZIP .MP3 "ext2": .scr, .pif

Örneğin: "info.DOC.scr"

Solucan, enfekte mesajları aynı adrese iki kez göndermez. Bunu yapmak için, Windows sistem dizinindeki tüm virüslü e-postaları bir PROTOCOL.DLL dosyasında depolar ve yeni bir ileti göndermeden önce bu dosya içeriğini kontrol eder.

Casusluk Truva atı

Bu rutin, çalıntı bilgileri bir günlük dosyasına (isteğe bağlı bir adla) kaydeder ve bu bilgiyi bir anahtarla (isteğe bağlı olarak) şifreler. Bir süre sonra, bu bilgi bir dizi rastgele seçilmiş e-posta adresinden birine gönderilir. Bu adreslerin bir listesi aşağıda yer almaktadır; listede 22 adres ve e-posta sunucusu bulunmaktadır; ve bu mesajlar (email + server) yoluyla gönderilir:

 ZVDOHYIK@yahoo.com mx2.mail.yahoo.com udtzqccc@yahoo.com mx2.mail.yahoo.com DTCELACB@yahoo.com mx2.mail.yahoo.com I1MCH2TH@yahoo.com mx2.mail.yahoo.com WPADJQ12@yahoo.com mx2.mail.yahoo.com fjshd@rambler.ru mail5.rambler.ru smr@eurosport.com mail.ifrance.com bgnd2@canada.com mail.canada.com muwripa@fairesuivre.com fs.cpio.com rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net eccles@ballsy.net inbound.ballsy.net.criticalpath.net suck_my_prick@ijustgotfired.com mail.monkeybrains.net suck_my_prick4@ukr.net mail.ukr.net thisisno_fucking_good@usa.com usa-com.mr.outblaze.com S_Mentis@mail-x-change.com mail-fwd.rapidsite.net YJPFJTGZ@excite.com mta.excite.com JGQZCD@excite.com mta.excite.com XHZJ3@excite.com mta.excite.com OZUNYLRL@excite.com mta.excite.com tsnlqd@excite.com mta.excite.com cxkawog@krovatka.net Instagram Hesabındaki Resim ve Videoları imap.front.ru ssdn@myrealbox.com smtp.myrealbox.com

Vahşi-Bulunan

24 Kasım 2001'de vahşi olarak bulunan bu solucan varyantı aşağıdaki seçeneklere sahiptir:

Kendisini bir Windows sistem dizinine KERNEL32.EXE adıyla yükler ve aşağıdaki kayıt defteri anahtarına kaydeder:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce Kernel32 = kernel32.exe

KDLL.DLL adıyla bir klavye fahişe düşer. Günlük bilgisi, CP_25389.NLS ismi ile Windows sistem dizininde saklanır.