| ← Июль 2001 → | ||||||
|
1
|
||||||
|---|---|---|---|---|---|---|
|
2
|
4
|
6
|
7
|
8
|
||
|
10
|
11
|
13
|
14
|
15
|
||
|
16
|
17
|
18
|
19
|
|||
|
23
|
25
|
28
|
29
|
|||
|
30
|
31
|
|||||
За последние 60 дней ни разу не выходила
Сайт рассылки:
http://prool.kharkov.org/ezheki.html
Открыта:
Давно
Адрес
автора: comp.soft.av.ezheki-owner@subscribe.ru
Статистика
0 за неделю
Антивирусное обозрение "Ежики"
=========================================================================== Антивирусное Обозрение "Ежики" http://www.karimov.ru (события, факты, комментарии) =========================================================================== I-Worm.Sircam - новый опасный червь! Опасный сетевой червь, распространяющийся по сети Интернет и ресурсам локальных вычислительных сетей. Файл-носитель червя представляет собой Windows-приложение, размером около 130 Кб, написанное на языке программирования Delphi. В процессе распространения червь может прикреплять к своим файлам дополнительные файлы DOC, XLS, ZIP и других форматов (см. ниже), так что размер вложенного файла может превышать 130 Кб. После запуска (например, двойным щелчком на вложенном зараженном файле), червь внедряется в систему, рассылает зараженные сообщения (содержащие вложенные файлы с копией червя), заражает компьютеры, подключенные к доступной ЛВС (если в сети существуют диски, доступные для записи), а также, в зависимости от системной даты, выполняет встроенную деструктивную процедуру. Распространение по электронной почте ------------------------------------ Червь рассылает себя с зараженных компьютеров в виде файлов, вложенных в письма электронной почты, которые имеют случайное имя и двойное расширение: filename.ext1.ext2 Расширение "ext1" может быть любым из следующих вариантов: DOC, XLS, ZIP, EXE. Расширение "ext2" также случайно выбирается из PIF, LNK, BAT, COM. Таким образом, имена вложенных файлов могут выглядеть так: feb01.xls.pif normas.doc.bat "filename.ext1" является "настоящим" именем реального файла, присутствующего в зараженной системе. Червь при рассылке зараженных писем ищет файлы с расширениями "ext1" (см. выше), и использует полное имя файла как имя зараженного вложения. Т.е. если на диске присутствует файл MYFILE.DOC, и если червь использует именно этот файл при рассылке зараженных писем, то имя файла-вложения будет одним из следующих вариантов: MYFILE.DOC.PIF MYFILE.DOC.LNK MYFILE.DOC.BAT MYFILE.DOC.COM Затем червь берет этот файл (в данном случае MYFILE.DOC), прикрепляет его к своему EXE-телу (дописывает этот файл в конец своего файла) и вкладывает результат в отсылаемое письмо. Т.е. отсылаемые (зараженные) письма содержат вложение, которое состоит из двух частей: 1. EXE-код червя; 2. присоединенный DOC,XLS,ZIP или EXE-файл. Этот присоединенный файл затем используется червем для того, чтобы скрыть факт заражения компьютера (см. ниже - файл-приманка). В качестве побочного эффекта такого способа распространения может стать утечка с зараженного компьютера конфиденциальной информации. Строка "Тема" рассылаемых червем писем содержит имя вложенного файла. Тело письма может быть написано в двух языках: английском и испанском. Первая и последняя строки письма всегда одни и те же: первая строка: английский вариант: Hi! How are you? испанский вариант: Hola como estas ? последняя строка: английский вариант: See you later. Thanks испанский вариант: Nos vemos pronto, gracias. Между этими строками червь в случайном порядке вставляет следующий текст: английский вариант: I send you this file in order to have your advice I hope you can help me with this file that I send I hope you like the file that I sendo you This is the file with the information that you ask for испанский вариант: Te mando este archivo para que me des tu punto de vista Espero me puedas ayudar con el archivo que te mando Espero te guste este archivo que te mando Este es el archivo con la informaciуn que me pediste С целью получения адресов электронной почты для последующей рассылки им своих копий, червь сканирует файлы SHO*, GET*, HOT*, *.HTM, *WAB, и некоторые другие. Результаты сканирования затем сохраняются в специальных DLL файлах в системной директории Windows: SCD.DLL - содержит список файлов "ext1" SCH1.DLL, SCI1.DLL - содержат списки адресов электронной почты, найденных в сканированных файлах Также червь может создавать файлы SCT1.DLL и SCY1.DLL в системной директории Windows, в которых хранит дополнительную служебную информацию. Распространение по сетевым ресурсам ----------------------------------- Для распространения по локальной сети червь сканирует все доступные сетевые ресурсы (ищет доступные директории на удаленных компьютерах) и копирует туда свои файлы. В случае обнаружения на удаленном компьютере директории "\recycled", червь записывает себя в нее под именем SirC32.exe: \recycled\SirC32.exe После этого червь модифицирует файл AUTOEXEC.BAT, добавляя в него следующую команду: @win \recycled\SirC32.exe Если на компьютере имеется директория "\Windows", то червь изменяет имя системного файла RUNDLL32.EXE на RUN32.EXE, а на место RUNDLL32.EXE записывает свою копию. Как указывалось выше, все копии червя имеют атрибут "Hidden" ("Скрутый"). Деструктивные процедуры ----------------------- В зависимости от текущей системной даты и времени, червь с вероятностью 5% удаляет все файлы и поддиректории на диске, где установлена Windows. При каждой загрузке операционной системы с вероятностью 2% червь создает файл SirCam.Sys в корневой директории текущего диска и записывает в него следующий текст: [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX] [SirCam Version 1.0 Copyright c 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan Mexico] С каждым разом червь добавляет этот файл, тем самым постепенно поглощая свободное место на диске. Эти и многие другие текстовые строки в теле червя содержатся в зашифрованом виде. Процедуры защиты от этого вируса уже добавлены в антивирусную базу данных Антивируса Stop! и доступны в ежедневном обновлении. http://www.karimov.ru =========================================================================== Все новости: http://www.karimov.ru/news/ Андрей Каримов e-mail: andy@karimov.ru http://www.karimov.ru ===========================================================================
| http://subscribe.ru/
E-mail: ask@subscribe.ru | Отписаться | Рейтингуется SpyLog |
| В избранное | ||
