Email-Worm.Win32.NetSky.y

Технические детали

Вирус-червь. Распространяется через интернет в виде файлов, прикрепленных к зараженным письмам.

Написан на Microsoft Visual C++. Упакован PE_Patch+TeLock. Размер в сжатом виде - 26112 байт, в разжатом - 28160 байт.

Содержание зараженных писем

Письмо составляется следующим образом:

Адрес отправителя:

hukanmikloiuo@yahoo.com

Домен ".tc":

Заголовок:

Re: belge

Текст письма

mutlu etmek okumak belgili tanimlik belge.

Имя вложения

belge.pif

Домен ".se":

Заголовок

Re: dokumenten

Текст письма

Behaga lфsa dokumenten.

Имя вложения

dokumenten.pif

Домен ".fi":

Заголовок

Re: dokumentoida

Текст письма

Haluta kuulua dokumentoida.

Имя вложения

dokumentoida.pif

Домен ".pl":

Заголовок

Re: udokumentowac

Текст письма

Podobac sie przeczytac ten udokumentowac.

Имя вложения

udokumentowac.pif

Домен ".no":

Заголовок

Re: dokumentet

Текст письма

Behage lese dokumentet.

Имя вложения

dokumentet.pif

Домен ".pt":

Заголовок

Re: original

Текст письма

Leia por favor o original.

Имя вложения

original.pif

Домен ".it":

Заголовок

Re: documento

Текст письма

Legga prego il documento.

Имя вложения

documento.pif

Домен ".fr":

Заголовок

Re: document

Текст письма

Veuillez lire le document.

Имя вложения

document.pif

Домен ".de":

Заголовок

Re: dokument

Текст письма

Bitte lesen Sie das Dokument.

Имя вложения

dokument.pif

Остальные домены:

Заголовок

Re: document

Текст письма

Please read the document.

Имя вложения

document.pif

Червь активизируется, если пользователь сам запускает зараженный файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.

Инсталляция

При инсталляции червь копирует себя с именем FirewallSvr.exe в каталог Windows и регистрирует этот файл в ключе автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\FirewallSvr]

Рассылка писем

Червь ищет файлы с расширениями adb, asp, dbx, doc, eml, htm, html, msg, oft, php, pl, rtf, sht, tbb, txt, uin, vbs, и wab, ищет в них адреса электронной почты и рассылает свои копии по найденным адресам.

В каталоге Windows червь создает файл "fuck_you_bagle.txt" в который записывает свое тело в формате электронных писем. В дальнейшем использует этот файл для генерации зараженных писем.

Удаленное администрирование

Червь открывает и затем отслеживает порт 82.

Функции "бэкдор" позволяют злоумышленнику производить загрузку файлов на машину-жертву.

Прочее

Червь запрограммирован на проведение в период с 27 по 30 апреля 2004 года DoS-атаки на следующие сервера:

www.educa.ch
www.medinfo.ufl.edu
www.nibis.de