BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Net-Worm.Win32.Nimda

Sınıf Net-Worm
Platform Win32
Açıklama

Teknik detaylar

Bu, Internet üzerinden virüslü e-postalara eklenmiş bir virüs solucanıdır ve kendisini yerel bir ağ üzerinden paylaşılan dizinlere kopyalar ve ayrıca savunmasız IIS makinelerine (Web siteleri) saldırır. Solucan kendisi yaklaşık 57Kb uzunluğunda bir Windows PE EXE dosyası ve Microsoft C ++ ile yazılmıştır.

Virüs bulaşmış bir mesajdan çalıştırmak için, solucan bir güvenlik ihlalinden yararlanır. Solucan kendini sisteme yükler ve bir yayılma rutini ve yükünü çalıştırır.

Solucan aşağıdaki "telif hakkı" metin dizesini içerir:

Konsept Virüs (CV) V.5, Telif Hakkı (C) 2001 RPChina

yükleme

Yüklerken, solucan kendini kopyalar:

Windows dizinine MMC.EXE adıyla

Windows sistem dizinine RICHED20.DLL (ve özgün Windows RICHED20.DLL dosyasının üzerine yazar) ve LOAD.EXE adıyla.

Sonuncusu, daha sonra bir SYSTEM.INI dosyasındaki otomatik çalıştırma bölümünde kaydedilir:

[önyükleme] shell = explorer.exe load.exe -dontrunold

Solucan aynı zamanda kendisini rasgele MEP * .TMP ve MA * .TMP.EXE isimleriyle geçici bir dizine kopyalar.

mep01A2.TMP
mep1A0.TMP.exe
mepE002.TMP.exe
mepE003.TMP.exe
mepE004.TMP

EXE dosyaları Gizli ve Sistem özniteliklerinin yanı sıra bir LOAD.EXE dosyasına sahiptir (yukarıya bakın).

Solucan, yayılma ve yük taşıma rutinlerini çalıştırır. Windows sürümüne bağlı olarak, solucan EXLORER.EXE işlemini etkiler ve bir EXPLORER arka planı (iş parçacığı) olarak rutinlerini çalıştırabilir.

E-posta ile yayılıyor

Virüs bulaşmış mesajlar göndermek için, solucan SMTP protokolünü kullanarak bir ana makineye bağlanır ve kopyalarını kurban adreslerine gönderir.

Kurbanın e-posta adreslerini elde etmek için, solucan iki yol kullanır:

1. * .HTM ve * .HTML dosyalarını tarar ve e-posta benzeri dizeleri arar

2. MAPI kullanarak MS Exchange e-posta kutularına bağlanır ve buradan e-posta adresleri alır.

Virüs bulaşan mesajlar HTML biçimindedir ve şunları içerir:

Konu: boş veya rastgele
Gövde: boş
Eklenti: README.EXE

Konular, bir klasörden rastgele seçilen bir dosyanın adından seçilir:

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerShell FoldersPersonal

genellikle bu "Belgelerim" veya C: sürücüsündeki rastgele seçilen bir dosyadır.

Virüs bulaşmış mesajlardan yayılmak için, solucan bir "IFRAME" hilesi kullanır; açıklanan güvenlik açığı:

Microsoft Güvenlik Bülteni (MS01-020): Yanlış MIME Üstbilgisi, E-posta Ekini Çalıştırmak için IE'ye Neden Olabilir http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Yama indirin:

http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp

Bu güvenlik açığına ne sebep olur?

Bir HTML postası, MIME türü hatalı olarak birkaç alışılmadık türde biri olarak verilmiş bir yürütülebilir ek içeriyorsa, IE'deki bir kusur ekin bir uyarı iletişim penceresi görüntülenmeden yürütülmesine neden olur.

Yama ne yapar?

Düzeltme eki, MIME türlerini ve IE'deki ilişkili eylemlerini düzelterek bu güvenlik açığını ortadan kaldırır. Bu, e-postaların otomatik olarak çalıştırılabilir eklentileri başlatmasını önleme etkisine sahiptir.

Yerel ağ üzerinden yayılıyor

Solucan yerel ve paylaşımlı (eşlenmiş) uzaktan sürücüleri üç farklı şekilde tarar ve oradaki tüm erişilebilir dizinleri enfekte eder.

Enfekte ederken, solucan iki farklı şekilde kullanır:

1. Bu rasgele seçilmiş isimleri ile .EML (zamanın% 95'i) veya .NWS (% 5) dosyaları oluşturur. Sonuç olarak, bu EML ve NWS dosyaları virüslü bir makinede (ve yerel ağda) her yerde bulunur ve bunların binlerce olabilir. Bu dosyalar solucanın kopyasını e-posta formunda içerir.

E-posta formu, solucanın kopyasını bir MIME zarfında ve yukarıda açıklandığı gibi bir IFRAME numarası ile birlikte bir HTML e-postadır. Açıldıktan sonra, bu mesaj hemen savunmasız bir makineye bulaşır.

2. Solucan, dosya adı + uzantı kombinasyonları arar:

* VARSAYILAN *, * DİZİN *, * ANA *, * README * + .HTML, .HTM, .ASP

(* NAME *, dosya adında bir alt dize olabileceği anlamına gelir)

Böyle bir dosyanın bulunması durumunda, solucan kendisini e-posta formunda README.EML adıyla kopyalar ve bir kurbanın HTM / ASP dosyasına HTML / ASP'yi açarken README.EML dosyasını açan bir JavaScript programını ekler. Dosya açılır, sonuç olarak solucan aktive edilir.

Sonuç olarak, solucan Web sayfalarına bulaşır ve bu Web sitelerini ziyaret eden makinelere yayılabilir.

IIS saldırısı olarak yayılıyor

Dosyayı bir kurbanın makinesine yüklemek için, solucan bir "tftp" komutunu kullanır ve virüslü (güncel) bir makinede geçici bir TFTP sunucusunu, kurbanın (uzaktaki) makineden "veri al" komutunu tam olarak aynı şekilde işlemek için etkinleştirir. {"BlueCode": IISWorm_BlueCode} IIS solucanı olarak.

Bir kurbanın makinesine yüklenen dosyanın adı ADMIN.DLL.

Bu yükler

Yük yükü rutininde "Misafir" kullanıcısı Yönetici Kullanıcı Grubuna eklenir (sonuç olarak bir "Misafir" kullanıcısı virüslü bir makineye tam erişime sahiptir).

Solucan ayrıca paylaşım için tüm yerel sürücüleri açar.

"Nimda" solucanının çeşitli çeşitleri vardır.

Hepsi orijinaline çok kapalı ve çoğu orijinal solucanın "yamalı" versiyonudur – solucan gövdesindeki metin dizgileri diğer dizelerle değiştirilir).

Nimda.b

Bu bir PCShrink Win32 PE EXE dosyaları kompresör tarafından sıkıştırılmış, ancak orijinal "Nimda" solucudur. Teller:

README.EXE, README.EML

ile değiştirilir:

PUTA !! SCR, PUTA! EML

Nimda.c

Bu bir UPX kompresör tarafından sıkıştırılmış olmasına rağmen orijinal "Nimda" solucanıdır.

Nimda.d

Solucanın bu çeşidi, 2001 yılının Ekim ayı sonunda internete postalandı. Sıkıştırılmış halde (PECompact kompresör) yayıldı ve bu form 27K büyüklüğündeydi.

Orijinal solucandan tek fark, aşağıdaki metinle birlikte bu sürümde yer alan "telif hakkı" metin dizeleridir:

HoloCaust Virüs.! Stephan Fernandez.Spain tarafından V.5.2

Nimda.e

Bu bir yeniden derlenmiş "Nimda" varyantıdır ve biraz sabit ve / veya optimize edilmiş birkaç küçük rutin vardır. Bu varyant Ekim 2001 sonunda vahşi bulundu.

Orijinal solucan versiyonundan görünen farklar şunlardır:

Ekli dosya adı:
SAMPLE.EXE (README.EXE yerine)

DLL dosyaları şunlardır:
HTTPODBC.DLL ve COOL.DLL (ADMIN.DLL yerine)

"Telif hakkı" metni şu şekilde değiştirilir:
Konsept Virüs (CV) V.6, Telif Hakkı (C) 2001, (Bu CV, No Nimda.)


Orijinaline link