Червь в Skype

[HotKey]

Червь, распространяющийся через сервис Skype. Является приложением Windows (PE EXE-файл). Размер компонентов червя варьируется в пределах от 57 до 179 КБ.

Инсталляция

При запуске вирус извлекает из своего исполняемого файла во временную папку Windows следующий файл размером 74880 байт:
%Temp%\sandra.jpg

C целью маскировки своего основного функционала червь открывает созданный файл в установленной по умолчанию программе просмотра изображений.

Вредоносная программа копирует свой исполняемый файл в системный каталог Windows:
%System%\Skype.exe

Ссылка на файл добавляется в ключ автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersio n\Run]
"SkypeStartup" = "%System%\Skype.exe"

Таким образом, при каждом последующем старте ОС автоматически запускает файл червя.

Вирус извлекает из своего тела еще один файл (размер — 57344 байт):
%System%\Invisible002.dll

Извлеченный файл регистрируется в системе, в результате чего генерируется ключ реестра:
[HKCR\CLSID\{7FB39839-665D-4D47-873C-D3FD9009FC3B}]

@ = "Invisible"

[HKCR\CLSID\{7FB39839-665D-4D47-873C--D3FD9009FC3B}\InprocServer32]

@ = "%System%\Invisible002.dll"

"ThreadingModel" = "Apartment"

[HKCR\CLSID\{7FB39839-665D-4D47-873C--D3FD9009FC3B}\TypeLib]

@ = "{7FB39839-665D-4D47-873C--D3FD9009FC3B}"

Также червь создает следующие ключи реестра:

[HKCU\Software\SkypeWorm\cfg]

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersio n\Explorer\Browser Helper Objects\
{7FB39839-665D-4D47-873C-D3FD9009FC3B}]

Деструктивная активность

Червь производит поиск в системе окон приложения Skype. Если находит, то, используя специальный API-интерфейс для управления данной программой извне, отправляет всем адресатам из контакт-листа пользователя сообщения со ссылкой на свою последнюю модификацию.

Текст сообщения выбирается произвольным образом из списка:
matei kur sandros foto idejo?
http://www.papai.ru/foto_galerija/***

ziurek kur sandros foto imeciau
http://www.papai.ru/foto_galerija/***

kaip tau tokia? :D http://www.papai.ru/foto_galerija/***

paziurek kokia foto andrius atsiunte
http://www.papai.ru/foto_galerija/***

bet cia nesveikai http://www.papai.ru/foto_galerija/***

:D http://www.papai.ru/foto_galerija/***

uj netau sry http://www.papai.ru/foto_galerija/***

netau cia http://www.papai.ru/foto_galerija/***

oi netau cia turejo but sory
http://www.papai.ru/foto_galerija/***

Также вирус получает с сайта злоумышленника URL для загрузки файла из Интернета, производит скачивание и сохраняет файл в системный каталог Windows («%System%»).

В случае успешной загрузки файл запускается на исполнение.

[XonixEquact]

Универсальный XSS червь
Автор делится возможностью написания универсального XSS червя. Вредоносный код пытается распространять себя с помощью SQL-инъекций, PHP-инъекций, а также с помощью получения шелла для загрузки новых копий.
Смотрим

[Muroz]

Новый червь Big Yellow способен проникать сквозь программное обеспечение от Symantec и давать, естественно, вход на целевой компьютер.

Зловредный модуль использует уязвимость в приложениях Symantec Client Security и Symantec AntiVirus Corporate Edition, которая была закрыта уже более полугода назад, однако распространение он может получить из-за того, что многие системные администраторы не следят за обновлениями программ, выпускаемых не Microsoft.

[dranteeni]

Лаборатория Касперского сообщает о перехвате массовых рассылок вируса-червя Zhelatin.o, распространяющегося в виде вложений в электронные письма.

Текст и заголовок письма, содержащего вредоносную программу, составлены таким образом, чтобы побудить пользователя открыть вложение в письмо, отмечается в сообщении.

Темы зараженных писем могут быть следующими: "I Always Knew", "I Am Lost In You", "I Believe", "I Cant Function", "I Dream of you", "I Give to You", "I Love Thee", "I Love You Mower", "I Love You So", "I Love You Soo Much", "I Love You with All I Am", "I Still Love You", "I Think of You", "I Win with You", "I Woof You". Имена вложенных файлов могут быть такими: "Postcard.exe", "flash postcard.exe", "greeting card.exe", "greeting postcard.exe".

При открытии зараженного вложения "червь" копирует себя на диск и при следующей загрузке зараженной машины запускается автоматически. После заражения вредоносная программа собирает адреса электронной почты с зараженной машины и производит рассылку своих копий. Вредоносный функционал "червя" включает также отключение настроек программ и антивирусных сервисов на зараженном компьютере. Кроме того, вирус использует популярные среди вирусописателей технологии для сокрытия присутствия "червя" в системе.

"Червь" заражает исполняемые exe-файлы и файлы экранных заставок .scr, найденные в системе, путем копирования своего кода в данные файлы.