Новый Червь

[HotKey]

20 февраля, 2007
Сетевой червь. Распространяется через доступные сетевые ресурсы. Является приложением Windows (PE EXE-файл). Имеет размер 67174 байта.

Инсталляция

После запуска программа копирует себя в корневой каталог Windows:


%WinDir%\Logo1_.exe
%WinDir%\uninstall\rundl132.exe

Для автоматической загрузки при каждом последующем старте системы червь добавляет ссылку на собственный исполняемый файл в ключ автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersio n\Run]
"load" = "%WinDir%\uninstall\rundl132.exe"

Также в корневом каталоге Windows создаётся файл размером 31116 байт, имеющий имя «RichDll.dll»:

%WinDir%\RichDll.dll

Червь генерирует ключ реестра, в котором хранит свои настройки:

[HKLM\SOFTWARE\Soft\DownloadWWW]

Распространение через локальную сеть

Вирус копирует свое тело во все папки, содержащие файлы с расширением .exe — на все разделы жесткого диска, начиная с последнего, а также на доступные для записи сетевые папки.

Деструктивная активность

Червь ищет в системе и завершает процессы со следующими именами:


EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
Ravmond.EXE
regsvc.exe
RavMon.exe
mcshield.exe
KVMONXP.KXP
KRegEx.exe
KVXP.KXP

Производится остановка службы «Kingsoft AntiVirus Service».

Вредоносная программа разыскивает в системе процесс avp.exe. Если находит, выполняет следующие действия:

* устанавливает уровень громкости звука на минимум, чтобы не было слышно звуковых предупреждений антивирусной программы;

* ищет в системе окно с именем класса «AVP.AlertDialog» и имитирует в нем нажатие на кнопку «Разрешить».

Червь следит за активностью пользователя в окнах следующих приложений:


lineage.exe
Mir.exe
Archlord.exe
LineageII.exe
Ragnarok.exe
GameClient.exe

Параметры учетных записей для подключения к серверам данных игр похищаются.

Собранную информацию червь отправляет на электронную почту злоумышленника.

Также вирус скачивает из сети Интернет программы по ссылкам:


http://*****ifafksajof.43242.com/gua/gua1.exe
http://*****ifafksajof.43242.com/gua/gua2.exe
http://*****ifafksajof.43242.com/gua/gua3.exe
http://*****ifafksajof.43242.com/gua/gua4.exe
http://*****ifafksajof.43242.com/gua/gua5.exe
http://*****ifafksajof.43242.com/gua/gua6.exe
http://*****ifafksajof.43242.com/gua/gua7.exe
http://*****ifafksajof.43242.com/gua/gua8.exe

После успешной загрузки файлы запускаются на исполнение.

(На момент создания описания данные ссылки не работали.)

[Valeno]

Универсальный XSS червь
Автор делится возможностью написания универсального XSS червя. Вредоносный код пытается распространять себя с помощью SQL-инъекций, PHP-инъекций, а также с помощью получения шелла для загрузки новых копий.
Смотрим

[Serebrjany mir]

Новый червь Big Yellow способен проникать сквозь программное обеспечение от Symantec и давать, естественно, вход на целевой компьютер.

Зловредный модуль использует уязвимость в приложениях Symantec Client Security и Symantec AntiVirus Corporate Edition, которая была закрыта уже более полугода назад, однако распространение он может получить из-за того, что многие системные администраторы не следят за обновлениями программ, выпускаемых не Microsoft.

[dranteeni]

Лаборатория Касперского сообщает о перехвате массовых рассылок вируса-червя Zhelatin.o, распространяющегося в виде вложений в электронные письма.

Текст и заголовок письма, содержащего вредоносную программу, составлены таким образом, чтобы побудить пользователя открыть вложение в письмо, отмечается в сообщении.

Темы зараженных писем могут быть следующими: "I Always Knew", "I Am Lost In You", "I Believe", "I Cant Function", "I Dream of you", "I Give to You", "I Love Thee", "I Love You Mower", "I Love You So", "I Love You Soo Much", "I Love You with All I Am", "I Still Love You", "I Think of You", "I Win with You", "I Woof You". Имена вложенных файлов могут быть такими: "Postcard.exe", "flash postcard.exe", "greeting card.exe", "greeting postcard.exe".

При открытии зараженного вложения "червь" копирует себя на диск и при следующей загрузке зараженной машины запускается автоматически. После заражения вредоносная программа собирает адреса электронной почты с зараженной машины и производит рассылку своих копий. Вредоносный функционал "червя" включает также отключение настроек программ и антивирусных сервисов на зараженном компьютере. Кроме того, вирус использует популярные среди вирусописателей технологии для сокрытия присутствия "червя" в системе.

"Червь" заражает исполняемые exe-файлы и файлы экранных заставок .scr, найденные в системе, путем копирования своего кода в данные файлы.