От Andrew
К Михаил Мухин
Дата 02.12.2001 19:53:58
Рубрики Прочее;

Re: М. Свирину.

Добрый день!

Мне тоже подвалило. Народ, читайте же новости вирусологии на http://www.kaspersky.com!

С уважением, А. http://crossroad.tradevisa.net/ Словарь немецких терминов
От М.Свирин
К Andrew (02.12.2001 19:53:58)
Дата 03.12.2001 04:07:27

Да недоступен Касперский.ком (-)
От Andrew
К М.Свирин (03.12.2001 04:07:27)
Дата 03.12.2001 10:33:29

Пожалуйста

Добрый день!

...

Эпидемия BadtransII приобретает массовый характер
"Лаборатория Касперского", российский лидер в области разработки систем информационной безопасности, сообщает: эпидемия Интернет-червя BadtransII приобретает массовый характер.За первые 24 часа скорость распространения BadtransII по сети в десятки раз превысила показатели печально известных SirCam, Melissa и I love you.*

BadtransII является модификацией вируса, появившегося в апреле этого года. Червь использует ту же брешь в защите почтовых клиентов, что и вирусы Nimda и Aliz. Уязвимость в MS Outlook ведет к тому, что файл, вложенный в письмо, запускается без ведома пользователя.

Червь проникает на компьютеры в виде электронного письма, тема которого может быть пустой или «Re:». Тело письма пустое. Имя вложенного файла случайно выбирается из нескольких вариантов:
"Pics" или "PICS", "images или "IMAGES","README", "New_Napster_Site" ,"news_doc" или "NEWS_DOC", "HAMSTER", "YOU_are_FAT!" или "YOU_ARE_FAT!", "stuff", "SETUP" ,"Card" или "CARD", "Me_nude" или "ME_NUDE", "Sorry_about_yesterday", "info", "docs" или "DOCS", "Humor" или "HUMOR", "fun" или "FUN", "SEARCHURL", "S3MSONG"

Сам файл имеет два расширения: первое - DOC, ZIP или MP3, второе - SCR или PIF, например "info.DOC.scr".

Зараженное письмо может быть отправлено как с реального почтового адреса (в случае, если письмо рассылается с зараженного компьютера), так и с ложного, с именем адресата, случайно выбранным из списка:
Anna, JUDY, Rita Tulliani, Tina, Kelly Andersen, Andy, Linda, Mon S, Joanna, JESSICA BENAVIDES, Administrator, Admin, Support, Monika Prado, Mary L. Adams, Anna, JUDY, Tina.

При запуске вложенного файла, вирус пытается ответить на все непрочитанные сообщения в клиенте MS Outlook, а также отсылает IP-адрес зараженного компьютера на адрес uckyjw@hotmail.com. Затем вирус прописывает себя в реестр системы, и обеспечивает неавторизованное проникновение извне на зараженный компьютер.

...

I-Worm.BadtransII


Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Также содержит в себе программу-"шпиона". Был обнаружен в ноябре 2001 года.

Червь является приложением Windows (PE EXE-файл), имеет размер около 29K упакован UPX, около 60K в распакованном виде). Состоит из двух основных частей: червь, рассылающий электронные письма, и троянец, ворующий пароли.

Компонента-червь отсылает зараженные письма. Компонента-троянец отсылает с компьютера конфиденциальную информацию (имя пользователя, RAS-данные, кешированные пароли, текст, набираемый на клавиатуре). Эта компонента также создает на диске дополнительный DLL-файл (библиотеку), которая следит за клавиатурой (т.е. клавиатурный шпион).


Заражение системы

При запуске зараженного файла (если пользователь откроет вложение или если червю удается воспользоваться брешью защиты IFRAME) червь активизируется, устанавливает себя в систему и регистрируется в системном реестре.

Имя устанавливаемого файла-червя, каталог установки (Windows или Windows\SYSTEM) и ключ реестра являются опциональными и могут быть изменены злоумышленником перед рассылкой очередного варианта червя. Все эти значения хранятся в конце зараженного файла в зашифрованном виде.

Прочие переменные значения, которые могут быть изменены:


имя DLL-шпиона
уничтожение исходного файла-червя после установки копии
предельный размер файла, в который записывается текст, введенный с клавиатуры

Рассылка писем

Для отсылки писем червь использует соединение с SMTP-сервером. Электронные адреса, по которым рассылаются письма, выделяются червем двумя способами:


Поиск строк-адресов в файлах *.HT* и *.ASP
MAPI-соединение с Входящими письмами и выделение из них электронных адресов

Червь отсылает письма в формате HTML. При этом в письмах используется брешь в защите Internet Explorer (IFRAME). В результате червь может автоматически активизироваться на незащищенных машинах.

Поля сообщений следующие:

From: - либо "настоящий" адрес пользователя, либо один из вариантов:


" Anna"
"JUDY"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
" Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
" Administrator"
" Admin"
"Support"
"Monika Prado"
"Mary L. Adams"
" Anna"
"JUDY"
"Tina"

При этом "настоящий адрес" слегка модифицируется: перед ним вставляется символ подчеркивания "_". Например, вот так будут преобразованы адреса:


"John K. Smith" "Vasja Pupkin"
"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru>

Заголовок: - пустой, или "Re:", или "Re:" с присоединенным текстом, который червь выделяет из Заголовка сообщения (при чтении сообщений через MAPI, см.выше).


Тело письма: - пустое.

Вложение: случайная комбинация "filename + ext1 + ext2" где:


"Filename":

Pics (or PICS ) Card (or CARD)
images (or IMAGES) Me_nude (or ME_NUDE)
README Sorry_about_yesterday
New_Napster_Site info
news_doc (or NEWS_DOC) docs (or DOCS)
HAMSTER Humor (or HUMOR)
YOU_are_FAT! (or YOU_ARE_FAT!) fun (or FUN)
stuff SEARCHURL
SETUP S3MSONG

"ext1": .DOC .ZIP .MP3
"ext2": .scr, .pif

Например, "info.DOC.scr"


Червь не отсылает сообщения дважды на одинаковый адреса. Для этого он запоминает их в закодированном виде в файле PROTOCOL.DLL в системном каталоге Windows. Перед каждой отсылкой письма червь по этому файлу проверяет электронный адрес на его уникальность.

Троянец-шпион

Сохраняет украденную информацию в специальном файле (информация при этом шифруется) и периодически отсылает ее на один из случайно выбранных адресов.

Ниже приведен список этих адресов и почтовых серверов, через которые идет отсылка (email + server):


ZVDOHYIK@yahoo.com mx2.mail.yahoo.com
udtzqccc@yahoo.com mx2.mail.yahoo.com
DTCELACB@yahoo.com mx2.mail.yahoo.com
I1MCH2TH@yahoo.com mx2.mail.yahoo.com
WPADJQ12@yahoo.com mx2.mail.yahoo.com
fjshd@rambler.ru mail5.rambler.ru
smr@eurosport.com mail.ifrance.com
bgnd2@canada.com mail.canada.com
muwripa@fairesuivre.com fs.cpio.com
rmxqpey@latemodels.com inbound.latemodels.com.criticalpath.net
eccles@ballsy.net inbound.ballsy.net.criticalpath.net
suck_my_prick@ijustgotfired.com mail.monkeybrains.net
suck_my_prick4@ukr.net mail.ukr.net
thisisno_fucking_good@usa.com usa-com.mr.outblaze.com
S_Mentis@mail-x-change.com mail-fwd.rapidsite.net
YJPFJTGZ@excite.com mta.excite.com
JGQZCD@excite.com mta.excite.com
XHZJ3@excite.com mta.excite.com
OZUNYLRL@excite.com mta.excite.com
tsnlqd@excite.com mta.excite.com
cxkawog@krovatka.net imap.front.ru
ssdn@myrealbox.com smtp.myrealbox.com


Варианты

24-го ноября "в диком виде" был обнаружен вариант червя, который имеет следующие характеристики:
инсталлирует себя в системный каталог Windows под именем KERNEL32.EXE и регистрирует в реестре:


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce Kernel32 = kernel32.exe

Клавиатурный шпион под именем KDLL.DLL создается также в системном каталоге Windows. Лог информации ведется в файле CP_25389.NLS. Информация шифруется, в качестве ключа используется кеш строки "uckyjw@hotmail.com".

...

С уважением, А. http://crossroad.tradevisa.net/ Словарь немецких терминов
От Никита
К Andrew (03.12.2001 10:33:29)
Дата 03.12.2001 16:08:42

на аутлуке ниже 6ой версии (-)
От Alexey A. B.
К Andrew (03.12.2001 10:33:29)
Дата 03.12.2001 12:52:08

Re: Спасибо за новости! (+)

Привет!

В общем, "червя" "I-Warm-MTX" я словил в начале июня - не взял его Касперский, вообще ничего не взяло. Особых гадостей не было первое время, потом начал "фотошоп" подвисать, потом и "ворд", пришлось переустановить систему...

Вчера, слава Богу, пронесло... Как понял, что гадость лезет - ну никогда "Вин-медиа" сам не запускался вместе с письмом. Удалили из верхней панели, не прикасаяськ письму на всякий пож., мышью. После - "проверился" Касперским... Уф-ф-ф...

Алексей.
Счастливо!