Отправляет email-рассылки с помощью сервиса Sendsay

IT-безопасность в быту и не только

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Безопасность. Статьи, новости, комментарии" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Ноябрь 2006   →
 1
 2
 3
 4
 5
 6
06.11.2006
07:05:26
12:05:19
 7
 8
08.11.2006
07:05:18
12:05:31
 9
10
11
12
13
14
15
16
16.11.2006
07:05:29
12:05:35
17
18
19
20
21
22
22.11.2006
07:05:25
14:05:31
23
24
25
26
26.11.2006
07:05:30
12:05:27
27
28
28.11.2006
12:08:18
14:07:10
29
29.11.2006
07:05:20
12:06:19
30
30.11.2006
01:25:15
14:06:07
Автор
Forester

Статистика

1.394 подписчиков
-1 за неделю
←   Все выпуски   →

Компьютер для продвинутых пользоватлей Выпус по вурусам.


Компьютер для продвинутых пользователей
В этом выпуске:
Email-Worm.Win32. Warezov.gl
ПО: Email-Worm.Win32. Warezov.gl

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Во вложение червь помещает не свою копию, а компонент, который может загружать из интернета другие вредоносные программы.
Зараженные письма рассылаются по всем найденным на компьютере адресам электронной почты.
Червь является приложением Windows (PE EXE-файл), имеет размер около 110 КБ. Упакован при помощи UPX. Размер в распакованном виде – около 235 КБ.

Инсталляция

При инсталляции червь копирует себя в корневой каталог Windows с именем "cservv32.exe":
%WinDir%\cservv32.exe
Также червь создает следующие файлы в системном и корневом каталогах Windows:
%System%\e1.dll (20 480 байт)
%Windir%\cservv32.s
%Windir%\cservv32.wax
%Windir%\cservv32.dat
Также червь создает следующие записи в системном реестре:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"cservv32" = "%Windir%\cservv32.exe s"
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs" = "e1.dll"
т.е. при каждой следующей загрузке Windows автоматически запустит файл червя.
Распространение через email
Для поиска адресов жертв червь сканирует адресные книги MS Windows.
При рассылке зараженных писем червь использует собственную SMTP-библиотеку.

Характеристики зараженных писем
Тема письма:

Выбирается произвольным образом из списка:
Error
Good Day
hello
Mail Delivery System
Mail server report
Mail Transaction Failed
picture
Server Report
Status
test
Текст письма:

Выбирается произвольным образом из списка:
Mail transaction failed. Partial message is available.
__________________________
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
__________________________
The message contains Unicode characters and has been sent as a binary attachment.
__________________________
Mail server report.
Our firewall determined the e-mails containing worm copies are being sent from your computer.
Nowadays it happens from many computers, because this is a new virus type (Network Worms).
Using the new bug in the Windows, these viruses infect the computer unnoticeably. After the penetrating into the computer the virus harvests all the e-mail addresses and sends the copies of itself to these e-mail addresses
Please install updates for worm elimination and your computer restoring.
Best regards,
Customers support service

Имя файла вложения:
body
data
doc
docs
document
file
message
readme
test
text
Update-KB<случайные цифры>-x86
В качестве файла вложения червь рассылает свою компоненту, которая может загружать из интернета другие вредоносные программы. Данный файл является компонентом червя и детектируется Антивирусом Касперского так же, как и основной модуль — Email-Worm.Win32.Warezov.gl

Деструктивная активность

Действия основного модуля червя
Червь завершает работу различных запущенных на зараженном компьютере антивирусных программ и межсетевых экранов.
Действия рассылаемого по почте компонента
Данный компонент рассылается основным модулем червя. Его функция заключается в загрузке из интернета других файлов без ведома пользователя.
Размер данного файла - 23 556 байт.
После запуска на компьютере данный файл открывает окно обработчика TXT-файлов, установленного в системе по умолчанию (чаще всего это программа Notepad/«Блокнот»).
При инсталляции данный файл создает в системном каталоге Windows свою копию со случайным именем.
Рассылаемый червем компонент содержит в себе список URL адресов, которые проверяются на наличие файлов. В случае если по какому-то из этих адресов будет размещен файл, он будет загружен в систему и запущен.
Не забудьте проголосовать за выпуск!
Рассылка создана и ведется при поддержке Информационной сети Пермского края.
Меня можно найти: ICQ - 273214003

e-mail - isdmi1::mail.ru
В избранное