RSS-каналы
Уровень опасности: 1
Email-Worm.Win32.Iksmas.gey
| Время детектирования | 27 фев 2009 20:10 MSK |
| Время выпуска обновления | 28 фев 2009 00:01 MSK |
| Описание опубликовано | 20 апр 2010 11:45 MSK |
Деструктивная активность
Технические детали
Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по электронной почте.
Инсталляция
Для автоматического запуска при каждом следующем старте системы вредоносная программа добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
"PromoReg" = "<filepath>"
Также программа создает следующие ключи реестра:
RList = "<random character>"
[HKCU\Software\Microsoft\Windows\CurrentVersion]
MyID = "<random character>"
Деструктивная активность
При запуске программа выполняет поиск адресов электронный почты на компьютере, найденные адреса программа в зашифрованной форме отсылает на адреса злоумышленника при помощи HTTP POST запроса. В ответ на данный запрос программа также может получить команду на скачивание другого вредоносного программного обеспечения.
Далее программа рассылает по всем найденным и полученным от злоумышленника электронным почтовым адресам письма, содержащие ссылку на адрес
http://adoresong.com/index.phpна котором предположительно раньше находилась вредоносная программа.
Также программа обновляет свою версию, скачивая её с электронного адреса
http://adoresong.com/index.php
Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по каналам электронной почты. В процессе размножения червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте).
В первом случае код червя активизируется при открытии (запуске) заражённого вложения, во втором — при открытии ссылки на заражённый файл. В обоих случаях эффект одинаков — активизируется код червя.
Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:
- прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку;
- использование сервисов MS Outlook;
- использование функций Windows MAPI.
Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма. Почтовые черви:
- рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook;
- считывает адреса из адресной базы WAB;
- сканируют «подходящие» файлы на диске и выделяет в них строки, являющиеся адресами электронной почты;
- отсылают себя по всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма).
Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты.
Email-Worm.
- Trojan.
Win32. Agent. bspk («Лаборатория Касперского») - Virus:
W32/Waledac. gen. e (McAfee) - Mal/WaledPak-A (Sophos)
- Win32/Waledac.
GG trojan (Nod32) - Trojan.
Waledac. Gen. 1 (BitDef7) - Trojan.
Waledac. Gen!Pac. 6 (VirusBuster) - Win32:
Walpak [Cryp] (AVAST) - Trojan.
Win32. Agent (Ikarus) - Injector.
CD (AVG) - W32.
Waledac (NAV) - Waledac.
AJ (Norman) - WORM_WALEDAC.
RUI (TrendMicro)
© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей