Email-Worm.Win32.Tettona

Teknik detaylar

Bu, virüs yoluyla bulaşan e-postalara eklenmiş Internet üzerinden yayılan solucan virüsüdür. Solucan da arka kapı rutini vardır.

Solucan kendisi Microsoft Visual C ++ ile yazılmış yaklaşık 35Kb (Petite tarafından sıkıştırılmış, sıkıştırılmış boyutu – yaklaşık 75Kb) Windows PE EXE dosyasıdır.

Virüslü mesajlardaki metinler ve ekli dosya adları farklıdır, güncel tarihe ve İtalyanca dil desteğine bağlıdırlar:

Konular:

İnanılmaz .. İnanılmaz .. Urgente! (vedi allegato) Qualsiasi cosa fai, falla al meglio.

Mesaj gövdesi "Merhaba" veya "Ciao" metinleriyle başlar, ardından Gövdeler şunlardır:

 Bu ilginç dosyayı gör.
 okkio all'allegato ;-)
 devi assolutamente vedere il dosya che ti ho allegato.
 apri subito l'allegato, e 'MOLTO interessante.

Mesaj gövdesi "A presto ..." veya "Bye" ile tamamlandı. Metin.

Ekli dosyalar:

   tettona.exe
   euro.exe
   tattoo.exe

Solucan, yalnızca bir kullanıcının ekli dosyayı tıklatması durumunda virüs bulaşmış e-postadan etkinleştirilir. Solucan kendini sisteme yükler, rutin ve arka kapıyı yaymaya çalışır.

yükleme

Solucanı kurarken kendisini DLLMGR32.EXE adıyla Windows dizinine kopyalar ve sistem kayıt defteri otomatik çalıştırma anahtarında bu dosyayı kaydeder:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun DllManager =% windir% dllmgr32.exe

Solucan, sahte hata mesajını görüntüler:

 Hata
  VBRUN49.DLL bulunamadı!

Yayma

Virüs bulaşmış mesajları göndermek için solucan varsayılan SMTP sunucusuna doğrudan bağlantı kullanır, sonra WAB veritabanını (Windows Adres Defteri) açar ve orada bulunan tüm adreslere mesajlar gönderir.

Arka kapı

Arka kapı prosedürü 5001 portunda bağlantıyı açar ve "master" ı dinler. Sonra talimatları takip eder:

 "HELO" - "Merhaba, adam" metnini içeren cevaplar
 "SCAN" - tüm dizinleri tarar ve oradaki dir / dosyaları raporlar (uzak DIR komutu gibi)
 "EXEC" - belirtilen dosyayı çalıştırır
 "UNINST" - kayıt defteri "Run" tuşu dahil olmak üzere sistemden kendini kaldırır.
 "VIEW" - belirtilen dosyayı "master" olarak gösterir
 "AŞAĞI" - belirtilen dosyayı "ana" ye indirir

Taşıma kapasitesi

12 Ocak'ta solucan mesajı görüntüler:

 Merhaba,

  Ciao,
  Il tuo bilgisayar � infettato dal virüsü Fral�.
  Certo che devi essere proprio un pirlone,
  esserti fatto fregare dal mio stupidissimo solucanı.
  Va b�, v�, non-ti preoccupare, vena di cattiverie'de oggi non sono,
  ed � anche un giorno festivo benden.

  Buona giornata ..
  4nt4R35 tarafından