Email-Worm.Win32.Sidex

Teknik detaylar

Bu, Internet üzerinden yayılan ve virüslü e-postaya bağlanan ve yerel ağa bulaşan bir virüs solucanıdır. Solucanın kendisi yaklaşık 107K uzunluğunda (sıkıştırılmış PCShrink, 202K sıkıştırılmış) bir Windows PE EXE dosyasıdır ve Delphi'de yazılmıştır.

Enfekte mesajlar şunları içerir:

Konu : Siteler Pornos
Gövde : Tudo bem to te enviando uma lista dos melhores siteleri pornosu da, br> uma olhada depois me avisa c voce gostou ati mais um Abra��o Do
seu melhor amigo 😉
Eklenti : SitesDeSexo.doc.exe

Solucan, yalnızca bir kullanıcı ekli bir dosyayı tıkladığında virüslü e-postadan etkinleştirir. Solucan kendini sisteme yükler, yayılma rutinini ve yükünü çalıştırır.

yükleme

Yüklerken, solucan kendisini VxBrasil.exe adıyla Windows sistem dizinine kopyalar ve bu dosyayı aşağıdaki WIN.INI dosyasındaki otomatik çalıştırma komutuna kaydeder:

[windows] =% SystemDir% VxBrasil.exe çalıştır

Burada % SystemDir% Windows sistem dizini.

Yayma

Virüs bulaşmış mesajlar göndermek için, solucan Windows MAPI işlevlerini kullanır ve e-posta kutularından gelen mesajları yanıtlar.

Yerel ağ

Solucan ağ paylaşımlı sürücüleri tarar, bir WIN.INI dosyası ile dizinleri arar, daha sonra kendisini "666hacked.exe" adıyla kopyalar ve bu kopyayı aynı "windows / run" anahtarında bir WIN.INI dosyasında kaydeder. yukarıdaki.

Diğer

Solucan da bir enfekte makinede bir arka kapı Trojan ("Backdoor.DRA") yükler. Bunu yapmak için, arka kapı kodunu kendi kaynaklarından ayıklar, C: ALEVIRUS.EXE ve C: BACK.EXE dosyalarına kaydeder ve onu geliştirir.

Solucan, dekoy dosyasını C: SitesDeSexo.doc oluşturur ve aşağıdaki metni yazar:

SEXO da internet confira da Estes s�o os melhores siteleri 🙂

Solucan porno sitelerinin bir listesini yazar ve bu dosyayı açar.