Email-Worm.Win32.Hybris

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Email-Worm

Email-Worms e-posta yoluyla yayıldı. Solucan, kendisinin bir kopyasını bir e-posta mesajının eki olarak veya bir ağ kaynağındaki dosyasına bir bağlantı olarak gönderir (örn., Ele geçirilmiş bir web sitesindeki veya hacker'ın sahip olduğu bir web sitesinde virüslü bir dosyanın URL'si). İlk durumda, virüslü eklenti açıldığında (başlatıldığında) solucan kodu devreye girer. İkinci durumda, virüs bulaşan dosyaya bağlantı açıldığında kod etkinleştirilir. Her iki durumda da, sonuç aynıdır: solucan kodu etkinleştirildi. Email-Worms, virüslü e-posta göndermek için bir dizi yöntem kullanır. En yaygın olanları şunlardır: Windows MAPI işlevlerini kullanarak MS Outlook hizmetlerini kullanarak solucan koduna yerleşik e-posta dizini kullanarak bir SMTP sunucusuna doğrudan bağlantı kullanarak. E-posta solucanları, virüslü e-postaların gönderileceği e-posta adreslerini bulmak için bir dizi farklı kaynak kullanır: MS Outlook'taki adres defteri, sabit sürücüde saklanan bir WAB adres veritabanı .txt dosyaları: solucan, metin dosyalarındaki hangi dizeleri belirleyebilir e-posta adreslerini gelen kutunuzda e-postalar (bazı e-posta-solucanlar gelen kutucukta bulunan e-postalara bile "cevap verir") Birçok e-posta solucanı, yukarıda listelenen kaynaklardan daha fazlasını kullanır. Web tabanlı e-posta hizmetleriyle ilişkili adres defterleri gibi başka e-posta adresleri kaynakları da vardır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, e-posta iletilerine eklenmiş bir Internet solucanıdır. Solucan sadece Win32 sistemleri altında çalışır. Solucan, solucanın ihtiyaçlarına bağlı olarak çalıştırılan kodundaki bileşenleri (eklentileri) içerir ve bu bileşenler bir İnternet Web sitesinden yükseltilebilir.

Büyük solucan sürümleri bir yarı polimorfik şifreleme döngüsü ile şifrelenir.

Solucan metin dizelerini içerir:

hybris
(c) Vecna

Solucan Çalışır

Bir bilgisayarda ana solucan hedef WSOCK32.DLL kütüphanesidir. Bu dosyaya bulaşırken, solucan:

• kendini son dosya bölümünün sonuna yazar
• "connect", "recv" ve "send" işlevlerini kancalar
• DLL giriş rutin adresini (bir DLL dosyası yüklendiğinde etkinleştirilen bir yordam) değiştirir ve özgün giriş yordamını şifreler.

Solucan WSOCK32.DLL bulaşamazsa (kullanımda ve yazma için kilitli olması durumunda), virüs bu kütüphanenin bir kopyasını oluşturur (rasgele bir isim ile WSOCK32.DLL kopyasını), enfekte eder ve bir WININIT.INI dosyasına "yeniden adlandır" komutu. Sonuç olarak, bir sonraki Windows başlatılmasıyla WSOCK32.DLL virüslü bir imajla değiştirilecektir.

Solucan, kopyasını Windows sistem dizininde rastgele bir adla da oluşturur ve RunOnce kayıt defteri anahtarına kaydeder:

 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce {Default} =% WinSystem% WormName 

veya

 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce {Default} =% WinSystem% WormName 

% WinSystem%, Windows sistem dizinidir ve "WormName", rastgele bir sekiz sembol adıdır, örneğin:

CCMBOIFM.EXE
LPHBNGAE.EXE
LFPCMOIF.EXE

"RunOnce" kayıt defteri anahtarında ek bir solucan kopyasını kaydetmenin yalnızca olası nedeni vardır: WSOCK32.DLL ilk solucan çalışması sırasında bulaşmamışsa ve virüslü kopyası bir sebepten dolayı oluşturulmamışsa, "RunOnce" solucanı kopya, bir sonraki Windows yeniden başlatıldığında görevi tamamlayacaktır.

Etkilenen WSOCK32.DLL

Solucan, Internet de dahil olmak üzere bir ağ bağlantısı kuran Windows işlevlerini kesiyor. Solucan gönderilen ve alınan verileri keser ve bunları e-posta adresleri için tarar. Bir adres (ler) algılandığında, solucan bir süre bekler ve ardından bu adreslere / adreslere virüslü bir mesaj gönderir.

eklentiler

Solucanın işlevselliği, 128-bit anahtarla RSA benzeri güçlü kripto algoritması ile şifrelenmiş solucan gövdesinde saklanan eklentilere bağlıdır. Farklı solucan sürümlerinde bulunabilen en fazla 32 eklenti vardır. Bu eklentiler, bir Web sayfasından güncellemeler olabilecek farklı eylemler gerçekleştirir:

http://pleiku.vietmedia.com/bye/

bu nedenle tam solucan işlevi sadece bir Web sayfasındaki eklentileri güncelleyebilen ana bilgisayarına bağlıdır. Bir sayfadaki eklentiler de RSA benzeri kripto ile şifrelenir.

Solucan ayrıca eklentilerini alt.comp.virus haber grubunu kullanarak günceller. Bir makinede aktif olan solucan, bir haber sunucusuna bağlanır (rastgele seçilmiş sunuculardan birini kullanarak - listede 70'den fazla adres vardır), eklentilerini haber grubu mesajlarına dönüştürür ve oraya gönderir. Solucan'ın mesajları rastgele bir Konuya sahiptir, örneğin:

encr HVGT GTeLKzurGbGvqnuDqbivKfCHWbizyXiPOvKD
encr CMBK bKfOjafCjyfWnqLqzSTWTuDmfefyvurSLeXGHqR
LNLM LmnajmnKDyfebuLuPaPmzaLyXGXKPSLSXWjKvWnyDWbGH
metin RFRE rebibmTCDOzGbCjSZ

İlk dört işin “isim” eklentisi olduğu ve dört işi takiben kodlanmış bir eklenti olan “versiyon”. Göndermenin yanı sıra, solucan bu tür mesajları alt.comp.virus dosyasından okur, "isim" ve "sürüm" eklentisini alır ve onları şu anda solucan tarafından kullanılan eklentilerle karşılaştırır. Haber grubunun daha yüksek bir eklenti sürümüne sahip bir mesajı varsa, solucan onu çıkarır ve mevcut olanı değiştirir. Böylece solucan, eklentilerini yükseltmek için alt.comp.virus kullanıyor.

Solucan, bu eklentileri Windows sistem dizininde disk dosyaları olarak da oluşturur. Ayrıca rastgele bir isme sahipler, ancak solucan onlara erişebiliyor. İsimler aşağıdaki gibi görünebilir:

BIBGAHNH.IBG
DACMAPKO.ACM
GAFIBPFM.AFI
IMALADOL.MAL
MALADOLI.ALA

Birçok farklı bilinen eklenti vardır:

1. Tüm mevcut sürücülerdeki tüm ZIP ve RAR arşivlerini C: 'den Z:' ye kadar boşaltın. Virüs bulaşırken, solucan EXE dosyasındaki dosyaları .EX $ uzantısıyla yeniden adlandırır ve kopyasını bir .EXE uzantısıyla arşive ekler (bulaşıcı yöntem).

2. Kodlanmış eklentileri olan mesajları "alt.comp.virus" neewsgroup'a gönderin ve buradan yeni eklentiler edinin.

3. Virüs'ü bir SubSeven backdoor Trojan yüklü olan uzak makinelere yayın. Eklenti, Net'teki bu tür makineleri algılar ve SubSeven komutlarını kullanarak, makineye bir solucan kopyası yükler ve onu oraya taşır.

4. Kopyayı bir e-postaya ekledikten önce solucan kopyalarını bir polimorfik şifreleme döngüsü ile şifreleyin.

5. Sistem tarihine ve saatine bağlı olarak (16 ve 24 Eylül'de ve 2001'den başlayarak her saatin 59 dakikasında - bilinen eklentilerde) "spirale" etkisi çalıştırılır.

Eklenti, Windows sistem dizininde rastgele 8 bayt .EXE adı oluşturur, orada "spirale efekti" EXE kodunu çözer ve bu dosyayı sistemde kaydeder:

Win9x altında: WIN.INI dosyasında [windows] içinde "run =" satırı WinNT altında: "Run =" anahtarındaki sistem kayıt defterinde

6. DOS EXE ve Windows PE EXE dosyalarını etkiler. Solucan onları etkiliyor, böylece solucan düşürücü oluyorlar. Çalıştırırken solucan EXE dosyasını TEMP dizinine bırakıp çalıştırırlar.

DOS EXE dosyasını etkilerken eklenti, dosyanın sonuna damlatma kodu ve solucan gövdesi ekler. Bu dosyalar dezenfekte edilebilir.

Windows PE EXE dosyasını etkilerken eklenti, solucan kodu için bir boşluk elde etmek için dosya kodu bölümünün üzerine yazar ve solucan damlalık kodunu bu boşluğa yazar (eğer yeterli büyüklükte ise). Eklenti dosya başlığına (giriş noktası adresi dahil) dokunmaz ve dosya boyutunu artırmaz. Ayrıca, özel verileri eklenti kodunda dolduran bir anti-CRC (chechsum) rutinine sahiptir, böylece CRC dosyası, yaygın kullanılan birkaç CRC algoritması için aynı olur. Bu, bazı bütünlük denetleyicilerinin etkilenen dosyalardaki değişiklikleri algılamayacağı anlamına gelir: dosya uzunluğu ve dosya gövdesi CRC, temiz dosyadakiyle aynı kalır.

Böyle bir PE EXE dosyası çalıştırıldığında, damlalık kodu, solucanı düşürür ve etkinleştirir, ardından kod bölümünü geri yükler (paketinden çıkarır) ve ana dosyaya denetimi döndürür.

7. Sonsuz kopyaları e-posta iletileriyle gönderirken bir Konu, Mesaj metni ve Ekle adı rasgele seçin:

Gönderen:

Hahaha [hahaha@sexyfun.net]

denekler:

Snowhite ve Yedi Cüceler - GERÇEK hikaye!

Branca de Neve porno�u!

Enanito si, pero con que pedazo!

Les 7 coquir nains

Mesaj metinleri:

Cömert avant oğlu dix huitieme anniversaire. Les 7 nains, qui avaient yardım '' blanche neige 'tostlar ces ann�es qu'elle se yüce enfuit de chez sa belle m�re, lui avaient promis une * grosse * sürpriz. 5 cesaretli bir tomejours, ne yazık ki rantlar. Mais cette fois ils un hava tulumu ...

Bugün, Snowhite 18'i dönüyordu. 7 Cüceler her zaman çok eğitimli ve Snowhite ile kibar. Sabah saatlerinde işe gittiklerinde, * büyük * bir sürpriz yaptılar. Snowhite endişeli idi. Anlaşılan kapı açık ve Yedi Cüceler içeri girer ...

Faltaba apenas un dia para su aniversario de de 18 aTos. Blanca de Nieve, İspanya için en iyi yerlerden biri. Os os os os os os os os os os os gra gra gra gra gra * * * * * * * * *. Al entardecer, llegaron. Tenian un brillo incomun en los ojos ...

Faltava apenas um dia para o seu aniversario de 18 anos. Branca de Neve estava muito feliz e ansiosa, porque os 7 ve daha fazlası prometeram uma * grande * surpresa. Cinco horas olarak, os anezeztos voltaram, trabalho yapar. Mas algı nao estava bem ... Os sete an�ezinhos tinham um estranho brilho hayır olhar ...

İsimler ekle:

enano.exe
enano porno.exe
blanca de nieve.scr
enanito fisgon.exe

seksi bakire.scr
joke.exe
midgets.scr
dwarf4you.exe

blancheneige.exe
sexynain.scr
blanche.scr
nains.exe

branca de neve.scr
atchim.exe
dunga.scr
ano pornosu.scr

Yanı sıra (eklenti sürümüne bağlı olarak):

Konu, rastgele bir kombinasyonudur:

 Anna + sex Raquel Darian seksi Xena ateşli Xuxa en sıcak Suzete cum ünlü cumshot ünlü tecavüz azgın deri vb

İsim ekle:

Anna.exe
Raquel Darian.exe
Xena.exe
Xuxa.exe
Suzete.exe
famous.exe
ünlü rape.exe
leather.exe
sex.exe
sexy.exe
hot.exe
hottest.exe
cum.exe
cumshot.exe
horny.exe
anal.exe
gay.exe
oral.exe
pleasure.exe
asian.exe
lesbians.exe
teens.exe
virgins.exe
boys.exe
girls.exe
SM.exe
sado.exe
cheerleader.exe
orgy.exe
black.exe
blonde.exe
sodomized.exe
hardcore.exe
slut.exe
doggy.exe
suck.exe
messy.exe
kinky.exe
yumruk fucking.exe
amateurs.exe

Ekli dosya adı, örneğin, rastgele bir sekiz bayt .EXE adı da olabilir:

ADELHHAD.EXE
CFIMMHAG.EXE
DIEOPIDI.EXE
EABLLNEA.EXE
FKPODKFK.EXE
HJEOINHJ.EXE
OGNNFEOG.EXE
PFFCKEPF.EXE

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com