Email-Worm.Win32.Sober.u

Технические детали

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь представляет собой PE EXE-файл. Написан на языке Visual Basic. Упакован UPX.

Размер в упакованном виде — около 130 КБ, размер в распакованном виде — около 266 КБ.

Инсталляция

После запуска червь выдает окно, содержащее следующее сообщение:

При инсталляции червь создает в корневом каталоге Windows папку ConnectionStatus\Microsoft и копирует себя в новую папку с именем services.exe:

%Windir%\ConnectionStatus\Microsoft\services.exe

Также в данной папке червь создает файл с именем concon.www для хранения в нем найденных на зараженном компьютере адресов электронной почты:

%Windir%\ConnectionStatus\Microsoft\concon.www

После чего червь регистрирует себя в ключах автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
 "WinCheck"="%WinDir%\ConnectionStatus\Microsoft\services.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
 "_WinCheck"="%WinDir%\ConnectionStatus\Microsoft\services.exe"

При каждой следующей загрузке Windows автоматически запустит файл червя.

Также червь создает пустые файлы в системном каталоге Windows с различными именами:

%System%\bbvmwxxf.hml
%System%\gdfjgthv.cvq
%System%\langeinf.lin
%System%\nonrunso.ber
%System%\rubezahl.rub
%System%\runstop.rst

Распространение через email

Для поиска адресов жертв червь сканирует файлы, имеющие расширения из приведенного ниже списка и рассылает себя по всем найденным в них адресам электронной почты.

abc
abd
abx
adb
ade
adp
adr
asp
bak
bas
cfg
cgi
cls
cms
csv
ctl
dbx
dhtm
doc
dsp
dsw
eml
fdb
frm
hlp
imb
imh
imh
imm
inbox
ini
jsp
ldb
ldif
log
mbx
mda
mdb
mde
mdw
mdx
mht
mmf
msg
nab
nch
nfo
nsf
nws
ods
oft
php
phtm
pl
pmr
pp
ppt
pst
rtf
shtml
slk
sln
stm
tbb
txt
uin
vap
vbs
vcf
wab
wsh
xhtml
xls
xml

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

Характеристики зараженных писем

Червь рассылает зараженные письма с вложением в виде zip-архива. Архив содержит исполняемый файл червя. Текст письма может быть на английском или немецком языках:

Тема письма:

• Haben Sie diese EMail verschickt?
• Registration Confirmation

Текст письма:

• Um es vorweg zu sagen: Ich bin kurz davor eine Anzeige gegen sie zu erstatten!
  Sie spinnen ja wohl! Die E-Mmailhat meine Tochter gelesen!!!!!!
  Ich habe Ihnen diese Word-Text Datei zu meiner Entlastung zurueckgeschickt.
  Es waere von Vorteil, wenn Sie sich dazu aeussern wuerden!!

• Thanks for your registration.
  Your data are saved in the zipped Word.doc file!

Имя файла-вложения:

• registration.zip
• Word-Text.zip

Архив содержит файл с именем Word-Text_packedList.exe.

Прочее

Email-Worm.Win32.Sober.u пытается найти и выгрузить из памяти процесс с именем MRT.EXE (Microsoft Windows Malicious Software Removal Tool). Завершение данного процесса делает систему более уязвимой.

Также в случае если на зараженном компьютере используется Windows XP SP2 червь ищет в приведенных ниже каталогах файл TCPIP.SYS и обновляет его с целью изменения нормальной работы протокола TCP/IP и препятствия доступа в сеть.

%System%\dllcache
%System%\drivers
%Windir%\ServicePackFiles