здесь я предлогаю описапние некоторы вирусов с
обзора вирусной активностью за апрель 2007 года.(по версии сайта касперского).
Email-Worm.Win32.NetSky.t
Другие версии: .aa, .ac, .af, .b, .c, .d, .e, .m, .o, .q, .r, .x, .y
Другие названия
Email-Worm.Win32.NetSky.t («Лаборатория Касперского») также известен как: I-Worm.NetSky.t («Лаборатория Касперского»), W32/Netsky.t@MM (McAfee), W32.Netsky.T@mm (Symantec), Win32.HLLM.Netsky.based (Doctor Web), W32/Netsky-T (Sophos), Win32/Netsky.T@mm (RAV), WORM_NETSKY.T (Trend Micro), Worm/NetSky.#1 (H+BEDV), W32/Netsky.T@mm (FRISK), Win32:Netsky-T (ALWIL), I-Worm/Netsky.T (Grisoft), Win32.NetSky.T@mm (SOFTWIN), Worm.SomeFool.Gen-2 (ClamAV), W32/Netsky.T.worm (Panda), Win32/Netsky.T (Eset)
Описание опубликовано 02 июн 2004
Поведение Email-Worm, почтовый червь
Технические детали
Вирус-червь. Распространяется через интернет в виде файлов, прикрепленных к зараженным письмам.
Червь является приложением Windows (PE EXE-файл), имеет размер около 18 KB, упакован UPX, написан на Microsoft Visual C++.
Содержание зараженных писем
Тема письма:
Выбирается произвольным образом из следующих:
Approved
Hello
Hi
Important
My details
Re: Approved
Re: Hello
Re: Hi
Re: Important
Re: My details
Re: Request
Re: Thanks you!
Re: Your details
Re: Your document
Re: Your information
Request
Thank you!
Your details
Your document
Your information
Текст письма:
Выбирается и составляется произвольным образом из следующих значений:
Approved, here is the document.
For more details see the attached document.
For more information see the attached document.
Hello!
Here is the "...".
Here is the document.
Hi!
I have found the "...".
I have sent the "...".
I have spent much time for the "...".
I have spent much time for your document.
My "..." is attached.
My "...".
Note that I have attached your document.
Please have a look at the "...".
Please have a look at the attached document.
Please notice the attached "...".
Please notice the attached document.
Please read quickly.
Please read the "...".
Please read the attached document.
Please see the "...".
Please, "...".
See the document for details.
Thank you
Thanks
The "..." is attached.
The "...".
The requested "..." is attached!
Your "..." is attached.
Your "...".
Your file is attached to this mail.
Yours sincerely
Где вместо "..." червь подставляет произвольные слова из следующего набора:
abuse list
account
answer
approved document
approved file
archive
bill
concept
contact list
corrected document
description
detailed document
details
developement
diggest
document
e-mail
excel document
file
final version
homepage
icq number
important document
improved document
improved file
info
information
instructions
letter
list
mail
message
movie document
new document
note
notice
number list
old document
order
personal message
phone number
photo document
picture document
postcard
powerpoint document
presentation document
release
report
requested document
sample
secound document
story
summary
text
textfile
user list
word document
Вложение:
Файл с расширением "pif" и произвольным именем.
Червь активизируется, если пользователь сам запускает зараженный файл (при двойном щелчке на вложении).
Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.
Инсталляция
При инсталляции червь копирует себя с именем "EastAV.exe" в каталог Windows и регистрирует этот файл в ключе автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"EastAV"="%windir%\EastAV.exe"
Рассылка писем
Червь ищет файлы с расширениями из списка:
adbaspcfgcgidbxdhtmdocemlhtmhtmljspmbx mdxmhtmmfmsgnchodsoftphpplpptrtfsht shtmstmtbbtxtuinvbswabwshxlsxml
Ищет в них адреса электронной почты и рассылает свои копии по найденным адресам.
Для отправки писем червь использует собственную SMTP-библиотеку.
Прочее
В зависимости от системной даты, червь пытается организовать DDoS-атаки на следующие сайты:
www.cracks.am
www.emule.de
www.freemule.net
www.kazaa.com
www.keygen.us
Email-Worm.Win32.Warezov.ms
Другие версии: .at, .bw, .do, .gl, .jv, .jx, .la, .lb, .lg, .mx, .nd, .nf
Детектирование добавлено 03 апр 2007 06:04 MSK
Обновление выпущено 03 апр 2007 07:25 MSK
Описание опубликовано 04 апр 2007
Поведение Email-Worm, почтовый червь
· Технические детали
· Деструктивная активность
· Рекомендации по удалению
Технические детали
Вирус-червь, распространяющийся в виде вложений в электронные письма. В них червь помещает не свою копию, а компонент, который может загружать из сети Интернет другие вредоносные программы.
Зараженные письма рассылаются по всем найденным на компьютере адресам электронной почты.
Червь является приложением Windows (PE EXE-файл). Размер его компонентов варьируется в пределах от 19 до 130 КБ.
Инсталляция
При запуске червь отображает на экране следующее сообщение:
Затем вирус копирует свой исполняемый файл в системную папку Windows под именем «iasnx9tc.exe»:
%System%\iasnx9tc.exe
Червь генерирует следующий файл размером 113895 байт:
%System%\iasnx9tc.dll
Также создается ключ в системном реестре:
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\iasnx9tc]
"DllName"="%System%\iasnx9tc.dll"
"Startup"="WlxStartupEvent"
"Shutdown"="WlxShutdownEvent"
"Impersonate"=dword:00000000
"Asynchronous"=dword:00000000
Распространение через электронную почту
Для поиска адресов жертв вредоносная программа сканирует адресные книги MS Windows.
При рассылке зараженных писем червь использует собственную SMTP-библиотеку.
Пример зараженного письма:
В качестве вложенного файла червь рассылает собственный компонент, обладающий функцией загрузки из Интернета других вредоносных программ.
Деструктивная активность
Действия основного модуля червя
Червь имеет возможность завершать различные процессы в системе, а также останавливать и удалять службы антивирусных программ и персональных брандмауэров.
Основной исполняемый файл данного вируса скачивает с сайтов злоумышленника различное вредоносное ПО и инсталлирует его на компьютер пользователя.
Действия рассылаемого по почте компонента
Указанный компонент рассылается основным модулем червя. На машины жертв компонент загружает файл по следующей ссылке:
http://***eradesunme.com/ntsrv32.exe
На момент создания описания по этому адресу располагалась последняя версия исполняемого файла червя.
Скачанный файл сохраняется во временную папку Windows с временным именем, после чего запускается на исполнение.
Рекомендации по удалению
Обнаружение. Процедуры обнаружения этой версии червя были выпущены срочным обновлением баз данных «Антивируса Касперского».
«Антивирус Касперского» версии 6.0 с включенной проактивной защитой способен обнаруживать данный вирус без обновления антивирусных баз.
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
1. При помощи «Диспетчера задач» завершить процесс оригинального файла червя.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Вручную удалить следующие файлы из системного каталога Windows:
4. %System%\iasnx9tc.exe
%System%\iasnx9tc.dll
5. Удалить ключ реестра:
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\iasnx9tc]
6. Удалить все зараженные письма из всех почтовых папок.
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Email-Worm.Win32.NetSky.qДругие
Другие названия
Email-Worm.Win32.NetSky.q («Лаборатория Касперского») также известен как: I-Worm.NetSky.q («Лаборатория Касперского»), W32/Netsky.ad@MM (McAfee), W32.Netsky.P@mm (Symantec), Win32.HLLM.Netsky.based (Doctor Web), W32/Netsky-P (Sophos), Win32/Netsky.P@mm (RAV), WORM_NETSKY.P (Trend Micro), Worm/NetSky.P.2 (H+BEDV), W32/Netsky.P@mm (FRISK), Win32:Netsky-P (ALWIL), I-Worm/Netsky.Q (Grisoft), Win32.Netsky.P@mm (SOFTWIN), Worm.SomeFool.P-dll (ClamAV), W32/Netsky.P.worm (Panda), Win32/Netsky.Q (Eset) Описание опубликовано 24 мар 2004
Поведение Email-Worm, почтовый червь
Технические детали
Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Также червь обладает функцией размножения через P2P-сети и доступные HTTP и FTP каталоги.Основной компонент червя представляет собой PE EXE-файл, размером около 29KB. Червь упакован FSG, размер распакованного файла около 40KB.ИнсталляцияКопирует себя в каталог Windows, под именем "fvprotect.exe" и регистрирует данный файл в ключе автозапуска системного реестра:[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Norton Antivirus AV" = "%windir\fvprotect.exe"Также червь создает в каталоге Windows файл "userconfig9x.dll" и файлы с именами:base64.tmpzip1.tmpzip2.tmpzip3.tmpzipped.tmpДанные файлы представляют собой копии червя в формате UUE, а также ZIP-архивы, содержащие копии червя. Заархивированные файлы могут иметь следующие названия:data.rtf.scrdetails.txt.pifdocument.txt.exeЧервь создает уникальный идентификатор "_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_" для определения своего присутствия в памяти.Размножение через emailЧервь ищет файлы с расширениями из списка:adbaspcgidbxdhtmdocemlhtmhtmljspmsgoftphpplrtfshtshtm tbbtxtuinvbswabwshxmlищет в них адреса электронной почты и рассылает свои копии по найденным адресам. Для отправки писем червь использует собственную SMTP-библиотеку. Червь пытается осуществить прямое подключение к серверу получателя зараженного письма.Зараженные письма формируются из произвольных комбинаций:Адрес отправителя:Выбирается произвольно из числа найденных на зараженной машине.Тема:0i09u5rug08r89589gjrgAdministratorapprovedCongra tulations!correctedDo you?Does it matter?ErrorFwd: Warning againhelloherehiI cannot forget you!I love you!Illegal WebsiteimportantImportant m$6h?3pimprovedInformationInternet Provider AbuseIs that your password?Mail AccountMail AuthenticationMail DeliverymyNewsNotice againpatchedPostcardPrivate documentProtected Mail SystemRe: A!p$ghsaRe: AdministrationRe: Approved documentRe: Bad RequestRe: Delivery ProtectionRe: Delivery ServerRe: DevelopementRe: Encrypted MailRe: ErrorRe: Error in documentRe: Extended MailRe: Extended Mail SystemRe: FailureRe: Free pornRe: HelloRe: HiRe: Is that your document?Re: Its meRe: ListRe: Mail AuthentificationRe: Mail ServerRe: MessageRe: Message ErrorRe: NotifyRe: Old photosRe: Old timesRe: Proof of conceptRe: Protected Mail DeliveryRe: Protected Mail RequestRe: Protected Mail SystemRe: QuestionRe: RequestRe: SampleRe: Secure deliveryRe: Secure SMTP MessageRe: Sex picturesRe: SMTP ServerRe: StatusRe: Submit a Virus SampleRe: TestRe: Thank you for deliveryRe: Virus SampleRe: Your documentread it immediatelyShocking documentSpamSpamed?Stolen documentThank you!thanks!You cannot do that!yourYour dayили произвольный набор символов.Текст письма:9u049u89gh89fsdpokofkdpbm3-4iam shocked about your document!Are you a spammer? (I found your email on a spammer website!?!)Authentication required.Bad Gateway: The message has been attached.Binary message is available.Can you confirm it?Delivered message is attached.Do not visit this illegal websites!Encrypted message is available.Encrypted message is available.ESMTP [Secure Mail System #334]: Secure message is attached.First part of the secure mail is available.Follow the instructions to read the message.For further details see the attachment.For more details see the attachment.For more details see the attachment.Forwarded message is available.Here is it!Here is my icq list.Here is my phone number.Here is the website. ;-)I have attached it to this mail.I have attached the sample.I have attached your document.I have corrected your document.I have received your document. The corrected document is attached.I have visited this website and I found you in the spammer list. Is that true?I hope you accept the result!Important message, do not show this anyone!Let'us be short: you have no experience in writing letters!!!lovely, :-)Message has been sent as a binary attachment.Monthly news report.My favourite page.New message is available.Now a new message is available.Partial message is available.Please answer quickly!Please authenticate the secure message.Please confirm my request.Please confirm the document.Please confirm!Please r564g!he4a56a3haafdogu#mfn3oPlease read the attached file!Please read the attached file.Please read the attachment to get the message.Please read the document.Please read the important document.Please see the attached file for detailspo44u90ugjid-k9z5894z0Protected Mail System Test.Protected message is attached.Protected message is attached.Protected message is available.Requested file.Secure Mail System Beta Test.See the file.See the ghg5%&6gfz65!4Hf55d!46gfgfServer Error #203SMTP Error #201SMTP: Please confirm the attached message.Thank you for your request, your details are attached!Thanks!The sample is attached!Try this, or nothing!Waiting for a Response. Please read the attachment.Waiting for authentification.You got a new message.You have downloaded these illegal cracks?You have received an extended message. Please read the instructions.You have written a very good text, excellent, good work!You were registered to the pay system.Your archive is attached.your big love, ;-)Your bill is attached to this mail.Your details.Your document is attached to this mail.Your document is attached.Your document is attached.Your document is attached.Your document.Your file is attached.Your important document, correction is finished!Your photo, uahhh.... , you are naked!Your requested mail has been attached.Greetings from france,your friend.Have a look at these.I noticed that you have visited illegal websites.See the name in the list!You have visited illegal websites.I have a big list of the websites you surfed.Your mail account is expired.See the details to reactivate it.Your mail account has been closed.For further details see the document.The file is protected with the password ghj001.I have attached your file. Your password is jkl44563.The sample file you sent contains a new virus version of mydoom.j.Please clean your system with the attached signature.Sincerly,Robert FerrewBest wishes,your friend.Congratulations!,your best friend.I found this document about you.I cannot believe that.Try this game ;-)I hope the patch works.Также червь может дописывать в конец зараженного письма ложное сообщение о том, что данное письмо было проверено каким-либо антивирусом: +++ Attachment: No Virus found+++ MessageLabs AntiVirus - www.messagelabs.com+++ Attachment: No Virus found+++ Bitdefender AntiVirus - www.bitdefender.com+++ Attachment: No Virus found+++ MC-Afee AntiVirus - www.mcafee.com+++ Attachment: No Virus found+++ Kaspersky AntiVirus - www.kaspersky.com+++ Attachment: No Virus found+++ Panda AntiVirus - www.pandasoftware.com++++ Attachment: No Virus found++++ Norman AntiVirus - www.norman.com++++ Attachment: No Virus found++++ F-Secure AntiVirus - www.f-secure.com++++ Attachment: No Virus found++++ Norton AntiVirus - www.symantec.deИмя вложения имеет множество различных вариантов. Зачастую это файлы с двойным расширением, где первое "doc" или "txt", а второе выбирается из списка:exepifscrzipТакже червь способен посылать свои копии в виде ZIP-архивов.Червь не посылает себя на адреса, в которых имеются подстроки:<a href="mailto:@antivi@avp" target="_blank">@antivi@avp</a<a href="mailto:>@bitdefender" target="_blank">>@bitdefender</a<a href="mailto:>@fbi" target="_blank">>@fbi</a<a href="mailto:>@f-pro" target="_blank">>@f-pro</a<a href="mailto:>@freeav" target="_blank">>@freeav</a<a href="mailto:>@f-secur" target="_blank">>@f-secur</a<a href="mailto:>@kaspersky" target="_blank">>@kaspersky</a<a href="mailto:>@mcafee" target="_blank">>@mcafee</a<a href="mailto:>@messagel" target="_blank">>@messagel</a<a href="mailto:>@microsof" target="_blank">>@microsof</a<a href="mailto:>@norman" target="_blank">>@norman</a<a href="mailto:>@norton" target="_blank">>@norton</a<a href="mailto:>@pandasof" target="_blank">>@pandasof</a<a href="mailto:>@skynet" target="_blank">>@skynet</a<a href="mailto:>@sophos" target="_blank">>@sophos</a<a href="mailto:>@spam" target="_blank">>@spam</a<a href="mailto:>@symantec" target="_blank">>@symantec</a<a href="mailto:>@viruslisabuse" target="_blank">>@viruslisabuse</a<a href="mailto:>@noreply" target="_blank">>@noreply</a<a href="mailto:>@ntivirreports" target="_blank">>@ntivirreports</a>@spam@Червь может посылать письма, содержащие IFRAME Exploit (аналогично червям Klez.h или Swen). В таком случае, при просмотре письма из уязвимого почтового клиента - произойдет автоматический запуск вложенного файла червя.Размножение через P2PЧервь создает множество своих копий во всех подкаталогах, содержащих в своем названии слова из списка:beardonkeydownloadftphtdocshttpicqkazaalimemorpheusmu lemy shared foldersharshared filesuploadСоздаваемые файлы червю имеют следующие названия:1001 Sex and more.rtf.exe3D Studio Max 6 3dsmax.exeACDSee 10.exeAdobe Photoshop 10 crack.exeAdobe Photoshop 10 full.exeAdobe Premiere 10.exeAhead Nero 8.exeAltkins Diet.doc.exeAmerican Idol.doc.exeArnold Schwarzenegger.jpg.exeBest Matrix Screensaver new.scrBritney sex xxx.jpg.exeBritney Spears and Eminem porn.jpg.exeBritney Spears blowjob.jpg.exeBritney Spears cumshot.jpg.exeBritney Spears fuck.jpg.exeBritney Spears full album.mp3.exeBritney Spears porn.jpg.exeBritney Spears Sexy archive.doc.exeBritney Spears Song text archive.doc.exeBritney Spears.jpg.exeBritney Spears.mp3.exeClone DVD 6.exeCloning.doc.exeCracks & Warez Archiv.exeDark Angels new.pifDictionary English 2004 - France.doc.exeDivX 8.0 final.exeDoom 3 release 2.exeE-Book Archive2.rtf.exeEminem blowjob.jpg.exeEminem full album.mp3.exeEminem Poster.jpg.exeEminem sex xxx.jpg.exeEminem Sexy archive.doc.exeEminem Song text archive.doc.exeEminem Spears porn.jpg.exeEminem.mp3.exeFull album all.mp3.pifGimp 1.8 Full with Key.exeHarry Potter 1-6 book.txt.exeHarry Potter 5.mpg.exeHarry Potter all e.book.doc.exeHarry Potter e book.doc.exeHarry Potter game.exeHarry Potter.doc.exeHow to hack new.doc.exeInternet Explorer 9 setup.exeKazaa Lite 4.0 new.exeKazaa new.exeKeygen 4 all new.exeLearn Programming 2004.doc.exeLightwave 9 Update.exeMagix Video Deluxe 5 beta.exeMatrix.mpg.exeMicrosoft Office 2003 Crack best.exeMicrosoft WinXP Crack full.exeMS Service Pack 6.exenetsky source code.scrNorton Antivirus 2005 beta.exeOpera 11.exePartitionsmagic 10 beta.exePorno Screensaver britney.scrRFC compilation.doc.exeRingtones.doc.exeRingtones.mp3.exeSaddam Hussein.jpg.exeScreensaver2.scrSerials edition.txt.exeSmashing the stack full.rtf.exeStar Office 9.exeTeen Porn 15.jpg.pifThe Sims 4 beta.exeUlead Keygen 2004.exeVisual Studio Net Crack all.exeWin Longhorn re.exeWinAmp 13 full.exeWindows 2000 Sourcecode.doc.exeWindows 2003 crack.exeWindows XP crack.exeWinXP eBook newest.doc.exeXXX hardcore pics.jpg.exeПрочееЕсли в ключе реестра:[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] имеются следующие ключи и значения:au.exed3dupdate.exedirect.exedirect.exeExplorergoud ay.exejijblmsgsvr32OLErate.exeSentryservicesrate.exessate.ex esysmon.exesystem.TaskmonWindows Services Hostwinupd.exewinupd.exeТо червь удаляет их из системного реестра Windows.Также из ключа:[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunSer vices]Удаляются ключи:system.VideoА также значения ключей:[HKLM\SYSTEM\CurrentControlSet\Services\WksPatch][HKC U\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\PINF][H KCR\CLSID\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InPro cServer32]Данные ключи и значения реестра связаны с другими почтовыми червями (семейство I-Worm.Bagle).
Vias
06.05.2007 11:25
![[sm29]](/media/forum/images/smiley_icons/super_smilies042.gif){kind=icon}