Email-Worm.Win32.Gokar

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Email-Worm

Email-Worms e-posta yoluyla yayıldı. Solucan, kendisinin bir kopyasını bir e-posta mesajının eki olarak veya bir ağ kaynağındaki dosyasına bir bağlantı olarak gönderir (örn., Ele geçirilmiş bir web sitesindeki veya hacker'ın sahip olduğu bir web sitesinde virüslü bir dosyanın URL'si). İlk durumda, virüslü eklenti açıldığında (başlatıldığında) solucan kodu devreye girer. İkinci durumda, virüs bulaşan dosyaya bağlantı açıldığında kod etkinleştirilir. Her iki durumda da, sonuç aynıdır: solucan kodu etkinleştirildi. Email-Worms, virüslü e-posta göndermek için bir dizi yöntem kullanır. En yaygın olanları şunlardır: Windows MAPI işlevlerini kullanarak MS Outlook hizmetlerini kullanarak solucan koduna yerleşik e-posta dizini kullanarak bir SMTP sunucusuna doğrudan bağlantı kullanarak. E-posta solucanları, virüslü e-postaların gönderileceği e-posta adreslerini bulmak için bir dizi farklı kaynak kullanır: MS Outlook'taki adres defteri, sabit sürücüde saklanan bir WAB adres veritabanı .txt dosyaları: solucan, metin dosyalarındaki hangi dizeleri belirleyebilir e-posta adreslerini gelen kutunuzda e-postalar (bazı e-posta-solucanlar gelen kutucukta bulunan e-postalara bile "cevap verir") Birçok e-posta solucanı, yukarıda listelenen kaynaklardan daha fazlasını kullanır. Web tabanlı e-posta hizmetleriyle ilişkili adres defterleri gibi başka e-posta adresleri kaynakları da vardır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, Internet üzerinden virüslü e-postalara iliştirilmiş bir virüs solucanıdır ve kendisini IRC kanalları aracılığıyla gönderir ve bir IIS sunucusuna bulaşır. Aynı zamanda kendini anti-virüs programlarından korur.

Solucan kendisi bir Windows PE EXE dosyası, 14336 bayt uzunluğunda ve Visual Basic 6'da yazılmıştır. Bir UPX programında paketlenmiştir. Paketin açılmasından sonra 53 Kb büyüklüğündedir. Aşağıdaki metin dizelerini içerir:

W32.Karen Gobo'nun ... mutlu yıllar kızı! bağırır: W1z, Merl, NM ve başka kim. Undernet'te #teamvirus ... merhaba de. bob botların kralı :)

Enfekte mesajlar şunları içerir:

Konu, 15 varyanttan bir tanesidir:

• Tanrı olsaydım ve kendime inanmazsam küfür olurdum
• A-Team VS KnightRider ... kim kazanacak?
• Sadece bir öpücük daha iyi olacak. sadece bir öpücük ve iyi olacağız.
• Bu özleme yardım edemem, rahat ol. Li> Ve seni en çok özledim sevgilim ...
• ... Sonbahar yaprakları düşmeye başladığında
• Burası karanlık, etrafta hissedebiliyorsun. Yeraltı.
• Her zaman yanında olacağım bazen kimi zaman beyaz ...
• .. ve korkmanıza gerek yok, her zaman aklımdasın.
• Bir adım daha büyük bir adım atıyorsun.
• Denersen, hava senin arzumun kanatlarına güvenir. Glory, Glorified .......
• Ufuklar öne doğru eğiliyor, değişim için yeni adımlar atmamız için bize yer sunuyor.
• Bu sakinliği seviyorum, fırtına öncesi Darling'ten önceki anlar, ne zaman düştün?
• Benimle buluşacak mısın ... ve uçup gideceğiz?

Ekle dosya adı rastgele. Aşağıdaki uzantılardan biri vardır:
.exe, .pif, .scr, .bat, .com

Örnek isimler şöyledir:

3tgf3tgf3tgf373774285313tgf.scr
ffdasfffdasfffdasf145361008658ffdasf.com
rewfdrewfdrewfd30741913208rewfd.scr

Mesaj gövdesi şu 4 varyanttan bir tanesidir:

Hey

• Aşkın kör olduğunu söylerler ... iyi, bağlanma muhtemelen kanıtlıyor. Her iki yol da olsa iyi değil mi?

• Bunu sevmelisin, daha sonra seninle konuşman için yapılmış olabilir.

• İyi ki doğdun Evet tamam, o zaman seninki benim değil :) yine de kutlama için neden olsa, eklediğim detayları kontrol et

• Bu beni güldürdü Daha sonra anlatacak daha fazla şey var ama şu an duramıyorum, bu yüzden size daha sonra e-posta göndereceğim ya da eğer bu size bir yüzük vereyim mi? Sonra konuşuruz

Kurulum

Yüklerken, solucan kendisini Windows sistem dizinine KAREN.EXE adıyla kopyalar ve bu dosyayı sistem kayıt defteri otomatik çalıştırma anahtarında kaydeder.

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Karen = karen.exe

E-posta ile yayılıyor

Virüs bulaşmış mesajlar göndermek için, solucan MS Outlook'u kullanır ve Outlook adres defterinde bulunan tüm adreslere mesajlar gönderir.

Gokar1.bmp

IRC kanalları ile yayılıyor

Solucan C: MIRCSCRIPT.INI dosyasını yeni komut dosyasına yazar.

Bu betik, enfekte kanalı birleştiren her kullanıcıya bir EXE dosyası gönderir. Ayrıca aşağıdaki iletiyi gönderir:

Bu seni güldürmezse, hiçbir şey olmaz.

Bir kullanıcının takma ismini aşağıdakine değiştirir:

karen, solucan, virüs, seks

Komut metinleri gönderen kullanıcıları yok sayar:

komut dosyası, bulaşmış, dcc, script, enfekte

Char 'e' ile bir metin içeriyorsa #teamvirus kanalına katılır.

IIS sunucusunu etkileme

Solucan, C: INETPUBWWWROOTDEFAULT.HTM dosyasını kodun üzerine yazar ve kendisini WEB.EXE adıyla C: INETPUBWWWROOT dizinine kopyalar. Yeni DEFAULT.HTM, WEB.EXE dosyasına bir bağlantı içerir. Ayrıca bir metin yorumu var:

Sonuç olarak, yerel IIS sunucusuna solucan bulaşır.

Anti-viral programlardan korunma

Bilgisayar sisteminde kurulum yaparken, solucan çalışan işlemleri tarar. İsimlerini aşağıdaki listeden kontrol eder:

:

VSHWIN32.EXE
PW32.EXE
_avpm.exe
avpm.exe
ICLOAD95.EXE
ICMON.EXE
IOMon98.exe
VetTray.exe
Claw95.exe
f stopw.exe

Solucan bu süreçleri hafızada sonlandırır.

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com

Bu güvenlik açığının açıklamasında bir tutarsızlık mı tespit ettiniz? Bize bildirin!