Email-Worm.Win32. Warezov.la Вирус-червь, распространяющийся в виде вложений в электронную почту. Причём червь прикладывает к письмам не собственную копию, а только компонент, который может загружать из Интернета другие вредоносные программы.
Зараженные письма рассылаются по всем найденным на компьютере электронным адресам.
Программа является приложением Windows (PE EXE-файл). Размер ее компонентов варьируется в пределах от 89 до 114 КБ.
Инсталляция
При инсталляции червь копирует свой исполняемый файл в системный каталог Windows: %System%\dxtmmnmd.exe
Также червь извлекает из своего тела следующий файл: %System%\dxtmmnmd.dll
Распространение через e-mail
С целью поиска адресов будущих жертв вирус сканирует адресные книги MS Windows.
При рассылке зараженных писем червем используется собственная SMTP-библиотека.
Характеристики зараженных писем
Тема письма
Выбирается произвольным образом из списка: Error Good Day hello Mail Delivery System Mail server report Mail Transaction Failed picture Server Report Status test
Текст письма
Произвольным образом выбирается один из следующих вариантов:
Mail transaction failed. Partial message is available.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
The message contains Unicode characters and has been sent as a binary attachment.
Mail server report.
Our firewall determined the e-mails containing worm copies are being sent from your computer.
Nowadays it happens from many computers, because this is a new virus type (Network Worms).
Using the new bug in the Windows, these viruses infect the computer unnoticeably. After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses.
Please install updates for worm elimination and your computer restoring.
Best regards, Customers support service
Имя файла вложения body data doc docs document file message readme test text Update-KBслучайные цифры>-x86
Файлы вложения имеют расширения «.zip» или «.txt.exe».
В качестве этих файлов червь рассылает свой компонент, способный загружать из Интернета другое вредоносное программное обеспечение.
Деструктивная активность
Действия основного модуля червя
Данный представитель семейства Warezov останавливает и отключает службы следующих брандмауэров: Sygate Personal Firewall Zone Labs ZoneAlarm Windows Firewall Symantec Internet Security Agnitum Outpost Firewall McAfee.com Personal Firewall Kerio WinRoute
Деструктивная деятельность рассылаемого компонента
Названный компонент распространяется по электронной почте при помощи основного модуля червя. Функция компонента заключается в скрытой загрузке на компьютер пользователя файла по ссылке: kuturoisus.com/***/965/e/b****
(На момент создания описания данный URL не открывался.)
Скачанный файл сохраняется в системную папку Windows со случайным именем и расширением .exe, после чего запускается на исполнение.
Trojan-Downloader. Win32.Procexe Троянец, который скачивает из Интернета и запускает на исполнение другое программное обеспечение без ведома пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 3584 байта. Написан на С++.
Деструктивная активность
После запуска производится проверка системы на наличие средств защиты от несанкционированного доступа в Интернет (Outpost Firewall, Zone Alarm и Symantec Internet Security). В случае обнаружения данных программных продуктов троянец производит самоуничтожение — удаляет себя из системы.
Если ничего не обнаружено, осуществляется загрузка файла, расположенного по следующей ссылке:
Trojan-Spy.Win32. BZub.ar Троянская программа-шпион. Предназначена для кражи различной конфиденциальной информации. Является библиотекой Windows DLL. Имеет размер около 50 КБ. Упакована с помощью UPX. Распакованный размер — около 141 КБ.
Инсталляция
Устанавливается в систему при помощи других троянских программ.
Троянец инсталлируется как Browser Helper Object и следит за действиями пользователя в Интернете во время просмотра сайтов в браузере Microsoft Internet Explorer.
Деструктивная активность
Троянская программа похищает значения из полей ввода на странице www.postbank.de. Собранная информация отсылается в запросе на сайт злоумышленника вместе с URL страницы, на которой она находилась.
Также троянец сканирует параметры учетных записей Microsoft Outlook — читает из подключей ключа реестра [HKCU\Software\Microsoft\Internet Account Manager\Accounts] значения следующих записей:
Mail User NaMe Mail Password2
Данные сведения отправляются на электронную почту злоумышленника.
Дополнительно злоумышленник получает такую информацию, как название установленной ОС и IP-адрес зараженного компьютера.
Троянская программа обладает функцией загрузки файлов из Интернета (по скачанным с сайта злоумышленника ссылкам) с последующим запуском их на исполнение.
Кроме того, троян, получив необходимую команду, может удалить все файлы из папок «%WinDir%» и «%Program Files%», а также из корневой папки диска С:, а после завершить работу всей системы.
Таким образом, при каждом последующем старте Windows троянская библиотека будет загружаться системным процессом «Winlogon.exe».
Троянец создает ключ реестра, в котором хранит свои настройки: [HKLM\SOFTWARE\Microsoft\MSSMGR]
После завершения процесса инсталляции вредоносная программа удаляет свой исполняемый файл.
Деструктивная активность
Вирус запускает процесс «iexplore.exe» и внедряет в него свой код, открывающий на компьютере пользователя UDP-порт 1032. По данному порту троянцем принимаются команды от злоумышленника, который получает возможность выполнять следующие действия:
Trojan-Spy.Win32. KeyLogger.lb Троянская программа, которая следит за клавиатурным вводом пользователя. Является библиотекой Windows (DLL). Имеет размер 72192 байта. Написана на Delphi.
Инсталляция
Данный вирус инсталлируется в систему при помощи других троянских программ.
Деструктивная активность
Троянец устанавливает перехватчик на нажатия клавиш. С его помощью производится наблюдение за клавиатурным вводом пользователя.
Собранную информацию вредоносная программа сохраняет в файл, имя и путь к которому берет из параметра следующего ключа реестра: [HKCR\CLSID\{000000A0-0000-0000-0000-000000000011}] "File"
Trojan-Dropper.Win32. Small.fz Троянец, которая устанавливает и запускает на исполнение другие вредоносные программы без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 16377 байт.
Деструктивная активность
При запуске вирус извлекает из своего тела в корневой каталог Windows два файла, после чего запускает их на исполнение. Имена файлов формируются случайным образом.
Первый из них имеет расширение .exe и детектируется Антивирусом Касперского как Trojan.Win32.Pandora.l.
Второй представляет собой картинку в формате JPEG, которая отображается на экране с помощью программы просмотра графических файлов, тем самым отвлекая пользователя от факта запуска вредоносного файла.
Trojan-Downloader.Win32. Nurech.at Троянская программа, которая без ведома пользователя скачивает на компьютер файлы из сети Интернет. Является приложением Windows (PE-EXE файл). Имеет размер около 28 КБ. Упакована с помощью UPX, распакованный размер — около 77 КБ.
Первоначально данный троянец был распространен при помощи спам-рассылки.
Деструктивная активность
После запуска вирус загружает файлы по следующим URL:
(На момент создания описания ни одна из ссылок не работала.)
Скачанные файлы сохраняются в системную папку Windows под именами: %System%\ws25.exe %System%\ws26.exe %System%\ws27.exe %System%\ws28.exe %System%\ws35.exe %System%\ws36.exe
Затем троянец запускает их на исполнение и завершает свою работу.
Backdoor.Win32. Zomby.b Программа удаленного администрирования, предоставляющая злоумышленнику возможность контроля над компьютером жертвы. Является приложением Windows (PE EXE-файл). Имеет размер 16896 байт. Ничем не упакована. Написана на Visual С++.
Инсталляция
При запуске данный троянец копирует себя в системный каталог Windows (%System%) под именем «Kernl32.exe».
Для автоматического запуска при каждом последующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра: [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "KRNL" = "Kernl32.exe"
Деструктивная активность
Троянская программа получает информацию об имени зараженного компьютера и свободном пространстве на дисках. Собранные данные в зашифрованном виде («системное_время>.gif») отправляются по следующим адресам (с использованием соответствующих логинов и паролей):
Попытка соединения при этом осуществляется ежеминутно.
Также бэкдор открывает произвольный TCP-порт и ожидает команд от злоумышленника. Последнему это позволяет осуществлять такие действия, как:
* получение системной информации; * доступ к активным соединениям и паролям пользователя; * загрузка/удаление файлов; * запуск программ на исполнение; * создание/удаление каталогов.
Trojan-Proxy.Win32. Agent.q Троянская программа, которая без ведома пользователя запускает прокси-сервер на зараженном компьютере. Является приложением Windows (PE-EXE файл). Имеет размер 28796 байт. Ничем не упакована.
Инсталляция
При запуске троянец копирует свой исполняемый файл под именем:
%Program Files%\q~1\svchst32.exe
После этого оригинальный файл удаляется.
Вирус добавляет ссылку на собственный exe-файл в ключ автозапуска системного реестра: [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "bab" = "c:\progra~1\q~1\svchst32.exe"
Также генерируется следующий файл:
c:\!stealth.txt
Деструктивная активность
Троянец создает на компьютере пользователя SOCKS прокси-сервер на случайно выбранном TCP-порту, затем сообщает номер этого порта на сайт злоумышленника посредством URL-запроса.
Вредоносная программа пытается завершить следующие процессы:
Trojan-Spy.Win32. Goldun.ms Троянская программа, которая похищает конфиденциальную информацию пользователя. Является приложением Windows(PE-EXE файл). Размер компонентов троянца варьируется от 39 до 48 КБ.
Инсталляция
При запуске троянец извлекает из своего тела следующий файл:
%System%\msvcrl.dll – имеет размер 39 424 байта, упакован с помощью UPX.
Троянец получает путь к установленному Internet Explorer и изменяет файл iexplore.exe, добавляя в его таблицу импортов импорт из библиотеки %System%\msvcrl.dll.
После чего троянская библиотека будет загружаться при каждом запуске Microsoft Internet Explorer.
При этом оригинальный файл троянца удаляется.
Деструктивная активность
Троянец похищает пароли на учетные записи из файлов данных следующих клиентов мгновенных сообщений: QIP2005 Trillian MSN Messenger Yahoo Messenger AOL Miranda
Также троянец похищает пароли к FTP серверам из файлов конфигурации следующих FTP клиентов: WS_FTP Total Commander CuteFTP FAR
Похищает пароли к учетным записям электронной почты из файлов настроек следующих почтовых клиентов: TheBat Outlook Express Outlook
Также троянец похищает словарь IE Auto Complete Fields.
Троянец устанавливает перехватчики на API функции для работы с сетью интернет: InternetReadFile InternetOpenURL
с помощью которых следит за посещаемыми пользователем Интернет сайтами. Также троян перехватывает отсылаемые Internet Explorer данные из полей ввода на web-формах.
Кроме того при открытии в Internet Explorer адресов, которые попадают в заложенный внутрь троянца список, троян осуществляет перенаправление запросов на сайты злоумышленника.
Собранную на компьютере пользователя информацию троянец отправляет на сайт злоумышленника в параметрах HTTP запроса.
Trojan-Downloader. Win32.QDown.b Троянец, который осуществляет скачивание из сети Интернет и установку на компьютер пользователя других вредоносных программ. Является приложением Windows (PE EXE-файл). Имеет размер 43008 байт. Ничем не упакован. Написан на Borland Delphi.
Деструктивная активность
После запуска вирус производит загрузку архива «btiein.cab» во временный каталог Windows «down.cab»: %Temp%\down.cab
