Email-Worm.Win32.Hybris

Teknik detaylar

Bu, e-posta iletilerine eklenmiş bir Internet solucanıdır. Solucan sadece Win32 sistemleri altında çalışır. Solucan, solucanın ihtiyaçlarına bağlı olarak çalıştırılan kodundaki bileşenleri (eklentileri) içerir ve bu bileşenler bir İnternet Web sitesinden yükseltilebilir.

Büyük solucan sürümleri bir yarı polimorfik şifreleme döngüsü ile şifrelenir.

Solucan metin dizelerini içerir:

hybris
(c) Vecna

Solucan Çalışır

Bir bilgisayarda ana solucan hedef WSOCK32.DLL kütüphanesidir. Bu dosyaya bulaşırken, solucan:

• kendini son dosya bölümünün sonuna yazar
• "connect", "recv" ve "send" işlevlerini kancalar
• DLL giriş rutin adresini (bir DLL dosyası yüklendiğinde etkinleştirilen bir yordam) değiştirir ve özgün giriş yordamını şifreler.

Solucan WSOCK32.DLL bulaşamazsa (kullanımda ve yazma için kilitli olması durumunda), virüs bu kütüphanenin bir kopyasını oluşturur (rasgele bir isim ile WSOCK32.DLL kopyasını), enfekte eder ve bir WININIT.INI dosyasına "yeniden adlandır" komutu. Sonuç olarak, bir sonraki Windows başlatılmasıyla WSOCK32.DLL virüslü bir imajla değiştirilecektir.

Solucan, kopyasını Windows sistem dizininde rastgele bir adla da oluşturur ve RunOnce kayıt defteri anahtarına kaydeder:

 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce {Default} =% WinSystem% WormName 

veya

 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce {Default} =% WinSystem% WormName 

% WinSystem%, Windows sistem dizinidir ve "WormName", rastgele bir sekiz sembol adıdır, örneğin:

CCMBOIFM.EXE
LPHBNGAE.EXE
LFPCMOIF.EXE

"RunOnce" kayıt defteri anahtarında ek bir solucan kopyasını kaydetmenin yalnızca olası nedeni vardır: WSOCK32.DLL ilk solucan çalışması sırasında bulaşmamışsa ve virüslü kopyası bir sebepten dolayı oluşturulmamışsa, "RunOnce" solucanı kopya, bir sonraki Windows yeniden başlatıldığında görevi tamamlayacaktır.

Etkilenen WSOCK32.DLL

Solucan, Internet de dahil olmak üzere bir ağ bağlantısı kuran Windows işlevlerini kesiyor. Solucan gönderilen ve alınan verileri keser ve bunları e-posta adresleri için tarar. Bir adres (ler) algılandığında, solucan bir süre bekler ve ardından bu adreslere / adreslere virüslü bir mesaj gönderir.

eklentiler

Solucanın işlevselliği, 128-bit anahtarla RSA benzeri güçlü kripto algoritması ile şifrelenmiş solucan gövdesinde saklanan eklentilere bağlıdır. Farklı solucan sürümlerinde bulunabilen en fazla 32 eklenti vardır. Bu eklentiler, bir Web sayfasından güncellemeler olabilecek farklı eylemler gerçekleştirir:

http://pleiku.vietmedia.com/bye/

bu nedenle tam solucan işlevi sadece bir Web sayfasındaki eklentileri güncelleyebilen ana bilgisayarına bağlıdır. Bir sayfadaki eklentiler de RSA benzeri kripto ile şifrelenir.

Solucan ayrıca eklentilerini alt.comp.virus haber grubunu kullanarak günceller. Bir makinede aktif olan solucan, bir haber sunucusuna bağlanır (rastgele seçilmiş sunuculardan birini kullanarak – listede 70'den fazla adres vardır), eklentilerini haber grubu mesajlarına dönüştürür ve oraya gönderir. Solucan'ın mesajları rastgele bir Konuya sahiptir, örneğin:

encr HVGT GTeLKzurGbGvqnuDqbivKfCHWbizyXiPOvKD
encr CMBK bKfOjafCjyfWnqLqzSTWTuDmfefyvurSLeXGHqR
LNLM LmnajmnKDyfebuLuPaPmzaLyXGXKPSLSXWjKvWnyDWbGH
metin RFRE rebibmTCDOzGbCjSZ

İlk dört işin “isim” eklentisi olduğu ve dört işi takiben kodlanmış bir eklenti olan “versiyon”. Göndermenin yanı sıra, solucan bu tür mesajları alt.comp.virus dosyasından okur, "isim" ve "sürüm" eklentisini alır ve onları şu anda solucan tarafından kullanılan eklentilerle karşılaştırır. Haber grubunun daha yüksek bir eklenti sürümüne sahip bir mesajı varsa, solucan onu çıkarır ve mevcut olanı değiştirir. Böylece solucan, eklentilerini yükseltmek için alt.comp.virus kullanıyor.

Solucan, bu eklentileri Windows sistem dizininde disk dosyaları olarak da oluşturur. Ayrıca rastgele bir isme sahipler, ancak solucan onlara erişebiliyor. İsimler aşağıdaki gibi görünebilir:

BIBGAHNH.IBG
DACMAPKO.ACM
GAFIBPFM.AFI
IMALADOL.MAL
MALADOLI.ALA

Birçok farklı bilinen eklenti vardır:

1. Tüm mevcut sürücülerdeki tüm ZIP ve RAR arşivlerini C: 'den Z:' ye kadar boşaltın. Virüs bulaşırken, solucan EXE dosyasındaki dosyaları .EX $ uzantısıyla yeniden adlandırır ve kopyasını bir .EXE uzantısıyla arşive ekler (bulaşıcı yöntem).

2. Kodlanmış eklentileri olan mesajları "alt.comp.virus" neewsgroup'a gönderin ve buradan yeni eklentiler edinin.

3. Virüs'ü bir SubSeven backdoor Trojan yüklü olan uzak makinelere yayın. Eklenti, Net'teki bu tür makineleri algılar ve SubSeven komutlarını kullanarak, makineye bir solucan kopyası yükler ve onu oraya taşır.

4. Kopyayı bir e-postaya ekledikten önce solucan kopyalarını bir polimorfik şifreleme döngüsü ile şifreleyin.

5. Sistem tarihine ve saatine bağlı olarak (16 ve 24 Eylül'de ve 2001'den başlayarak her saatin 59 dakikasında – bilinen eklentilerde) "spirale" etkisi çalıştırılır.

Eklenti, Windows sistem dizininde rastgele 8 bayt .EXE adı oluşturur, orada "spirale efekti" EXE kodunu çözer ve bu dosyayı sistemde kaydeder:

Win9x altında: WIN.INI dosyasında [windows] içinde "run =" satırı WinNT altında: "Run =" anahtarındaki sistem kayıt defterinde

6. DOS EXE ve Windows PE EXE dosyalarını etkiler. Solucan onları etkiliyor, böylece solucan düşürücü oluyorlar. Çalıştırırken solucan EXE dosyasını TEMP dizinine bırakıp çalıştırırlar.

DOS EXE dosyasını etkilerken eklenti, dosyanın sonuna damlatma kodu ve solucan gövdesi ekler. Bu dosyalar dezenfekte edilebilir.

Windows PE EXE dosyasını etkilerken eklenti, solucan kodu için bir boşluk elde etmek için dosya kodu bölümünün üzerine yazar ve solucan damlalık kodunu bu boşluğa yazar (eğer yeterli büyüklükte ise). Eklenti dosya başlığına (giriş noktası adresi dahil) dokunmaz ve dosya boyutunu artırmaz. Ayrıca, özel verileri eklenti kodunda dolduran bir anti-CRC (chechsum) rutinine sahiptir, böylece CRC dosyası, yaygın kullanılan birkaç CRC algoritması için aynı olur. Bu, bazı bütünlük denetleyicilerinin etkilenen dosyalardaki değişiklikleri algılamayacağı anlamına gelir: dosya uzunluğu ve dosya gövdesi CRC, temiz dosyadakiyle aynı kalır.

Böyle bir PE EXE dosyası çalıştırıldığında, damlalık kodu, solucanı düşürür ve etkinleştirir, ardından kod bölümünü geri yükler (paketinden çıkarır) ve ana dosyaya denetimi döndürür.

7. Sonsuz kopyaları e-posta iletileriyle gönderirken bir Konu, Mesaj metni ve Ekle adı rasgele seçin:

Gönderen:

Hahaha [hahaha@sexyfun.net]

denekler:

Snowhite ve Yedi Cüceler – GERÇEK hikaye!

Branca de Neve porno�u!

Enanito si, pero con que pedazo!

Les 7 coquir nains

Mesaj metinleri:

Cömert avant oğlu dix huitieme anniversaire. Les 7 nains, qui avaient yardım '' blanche neige 'tostlar ces ann�es qu'elle se yüce enfuit de chez sa belle m�re, lui avaient promis une * grosse * sürpriz. 5 cesaretli bir tomejours, ne yazık ki rantlar. Mais cette fois ils un hava tulumu …

Bugün, Snowhite 18'i dönüyordu. 7 Cüceler her zaman çok eğitimli ve Snowhite ile kibar. Sabah saatlerinde işe gittiklerinde, * büyük * bir sürpriz yaptılar. Snowhite endişeli idi. Anlaşılan kapı açık ve Yedi Cüceler içeri girer …

Faltaba apenas un dia para su aniversario de de 18 aTos. Blanca de Nieve, İspanya için en iyi yerlerden biri. Os os os os os os os os os os os gra gra gra gra gra * * * * * * * * *. Al entardecer, llegaron. Tenian un brillo incomun en los ojos …

Faltava apenas um dia para o seu aniversario de 18 anos. Branca de Neve estava muito feliz e ansiosa, porque os 7 ve daha fazlası prometeram uma * grande * surpresa. Cinco horas olarak, os anezeztos voltaram, trabalho yapar. Mas algı nao estava bem … Os sete an�ezinhos tinham um estranho brilho hayır olhar …

İsimler ekle:

enano.exe
enano porno.exe
blanca de nieve.scr
enanito fisgon.exe

seksi bakire.scr
joke.exe
midgets.scr
dwarf4you.exe

blancheneige.exe
sexynain.scr
blanche.scr
nains.exe

branca de neve.scr
atchim.exe
dunga.scr
ano pornosu.scr

Yanı sıra (eklenti sürümüne bağlı olarak):

Konu, rastgele bir kombinasyonudur:

 Anna + sex Raquel Darian seksi Xena ateşli Xuxa en sıcak Suzete cum ünlü cumshot ünlü tecavüz azgın deri vb

İsim ekle:

Anna.exe
Raquel Darian.exe
Xena.exe
Xuxa.exe
Suzete.exe
famous.exe
ünlü rape.exe
leather.exe
sex.exe
sexy.exe
hot.exe
hottest.exe
cum.exe
cumshot.exe
horny.exe
anal.exe
gay.exe
oral.exe
pleasure.exe
asian.exe
lesbians.exe
teens.exe
virgins.exe
boys.exe
girls.exe
SM.exe
sado.exe
cheerleader.exe
orgy.exe
black.exe
blonde.exe
sodomized.exe
hardcore.exe
slut.exe
doggy.exe
suck.exe
messy.exe
kinky.exe
yumruk fucking.exe
amateurs.exe

Ekli dosya adı, örneğin, rastgele bir sekiz bayt .EXE adı da olabilir:

ADELHHAD.EXE
CFIMMHAG.EXE
DIEOPIDI.EXE
EABLLNEA.EXE
FKPODKFK.EXE
HJEOINHJ.EXE
OGNNFEOG.EXE
PFFCKEPF.EXE