Отправляет email-рассылки с помощью сервиса Sendsay

AIN: Украинский Интернет за неделю

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Интернет, деньги и коммерция" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Июль 2001   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
25.07.2001
13:15:24
14:47:03
26
27
27.07.2001
12:00:21
17:01:33
28
29
30
31
Автор
Александр Брамс

Статистика

1.645 подписчиков
-1 за неделю
←   Все выпуски   →

AIN - all about hi-tech СПЕЦВЫПУСК


Служба Рассылок Subscribe.Ru проекта Citycat.Ru 
AIN - all about hi-tech
25/07/01
http://ain.com.ua

СПЕЦВЫПУСК

**

http://ain.com.ua/soft_circam.html

Сетевой червь 'SirCam' бьет все рекорды

Всего за 6 дней с момента обнаружения - 18 июля 2001 г. - сетевой червь 'SirCam'
распространился по всему миру и прочно занял первое место

 Всего за 6 дней с момента обнаружения - 18 июля 2001 г. - сетевой червь 'SirCam'
распространился по всему миру и прочно занял первое место в списке наиболее
распространенных вредоносных программ.

На данный момент служба технической поддержки "Лаборатории Касперского" получила
десятки тысяч сообщений о случаях заражения 'SirCam' из Франции, США, Канады,
Китая, России, Испании, Индии, Великобритании, Германии, Польши, Италии, Турции,
Аргентины и многих других стран.

"'SirCam' использует те же технологии распространения и проникновения на компьютеры,
что и печально известные черви 'LoveLetter', 'Melissa' и им подобные. Распространенность
'SirCam' подтверждает тот факт, что многие пользователи не извлекли уроков из
ранее произошедших глобальных эпидемий. Они до сих пор не придают значения своевременному
обновлению антивирусных программ и осторожности при обращении с вложенными файлами,
- независимо от их происхождения", - объясняет Денис Зенкин, руководитель информационной
службы "Лаборатории Касперского".

'SirCam' распространяется во вложенных файлах электронной почты. Эти файлы не
имеют постоянного названия, расширения и текста письма. Червь рассылается с
зараженных компьютеров, - якобы от имени их владельцев. Для этого он, незаметно
для пользователя, фабрикует поддельные электронные письма и рассылает их по
адресам, найденным на зараженном компьютере. Такое непостоянство внешних признаков
заставляет многих пользователей поверить в подлинность и безопасность присылаемых
файлов. Ничего не подозревая, они запускают полученные файлы на своих компьютерах,
тем самым вызывая их заражение.

Также нельзя забывать об опасных побочных эффектах 'SirCam': помимо быстрого
поглощения свободного места на диске, он удаляет при каждой перезагрузке компьютера
все файлы и поддиректории из директории Windows, с вероятностью 5%. Процедуры
защиты от данного сетевого червя были добавлены в базу данных Антивируса КасперскогоT
еще 18 июля. "Лаборатория Касперского" настоятельно рекомендует всем пользователям
загрузить и подключить соответствующее обновление.

Для пользователей других антивирусных программ "Лаборатория Касперского" разработала
специальную программу обнаружения и полного удаления (включая восстановление
поврежденного системного реестра Windows) 'SirCam'. Вы можете бесплатно загрузить
ее ЗДЕСЬ ftp://ftp.kaspersky.com/utils/clrav.zip

--------------------------------------------------------------------------------

I-Worm.Sircam

Опасный сетевой червь, распространяющийся по сети Интернет и ресурсам локальных
вычислительных сетей. Файл-носитель червя представляет собой Windows-приложение,
размером около 130 Кб, написанное на языке программирования Delphi. В процессе
распространения червь может прикреплять к своим файлам дополнительные файлы
DOC, XLS, ZIP и других форматов (см. ниже), так что размер вложенного файла
может превышать 130 Кб.

После запуска (например, двойным щелчком на вложенном зараженном файле), червь
внедряется в систему, рассылает зараженные сообщения (содержащие вложенные файлы
с копией червя), заражает компьютеры, подключенные к доступной ЛВС (если в сети
существуют диски, доступные для записи), а также, в зависимости от системной
даты, выполняет встроенную деструктивную процедуру.

Распространение по электронной почте

Червь рассылает себя с зараженных компьютеров в виде файлов, вложенных в письма
электронной почты, которые имеют случайное имя и двойное расширение:

filename.ext1.ext2

Расширение "ext1" может быть любым из следующих вариантов: DOC, XLS, ZIP, EXE.
Расширение "ext2" также случайно выбирается из PIF, LNK, BAT, COM. Таким образом,
имена вложенных файлов могут выглядеть так:

feb01.xls.pif

normas.doc.bat

"filename.ext1" является "настоящим" именем реального файла, присутствующего
в зараженной системе. Червь при рассылке зараженных писем ищет файлы с расширениями
"ext1" (см. выше), и использует полное имя файла как имя зараженного вложения.
Т.е. если на диске присутствует файл MYFILE.DOC, и если червь использует именно
этот файл при рассылке зараженных писем, то имя файла-вложения будет одним из
следующих вариантов:

MYFILE.DOC.PIF
MYFILE.DOC.LNK
MYFILE.DOC.BAT
MYFILE.DOC.COM


Затем червь берет этот файл (в данном случае MYFILE.DOC), прикрепляет его к
своему EXE-телу (дописывает этот файл в конец своего файла) и вкладывает результат
в отсылаемое письмо. Т.е. отсылаемые (зараженные) письма содержат вложение,
которое состоит из двух частей: 1. EXE-код червя; 2. присоединенный DOC,XLS,ZIP
или EXE-файл. Этот присоединенный файл затем используется червем для того, чтобы
скрыть факт заражения компьютера (см. ниже - файл-приманка).

В качестве побочного эффекта такого способа распространения может стать утечка
с зараженного компьютера конфиденциальной информации.

Строка "Тема" рассылаемых червем писем содержит имя вложенного файла. Тело письма
может быть написано в двух языках: английском и испанском. Первая и последняя
строки письма всегда одни и те же:

первая строка:

английский вариант: Hi! How are you?
испанский вариант: Hola como estas ?


последняя строка:

английский вариант: See you later. Thanks
испанский вариант: Nos vemos pronto, gracias


 . Между этими строками червь в случайном порядке вставляет следующий текст:
английский вариант:

I send you this file in order to have your advice
I hope you can help me with this file that I send
I hope you like the file that I sendo you
This is the file with the information that you ask for


испанский вариант:
Te mando este archivo para que me des tu punto de vista
Espero me puedas ayudar con el archivo que te mando
Espero te guste este archivo que te mando
Este es el archivo con la informaciуn que me pediste


С целью получения адресов электронной почты для последующей рассылки им своих
копий, червь сканирует файлы SHO*, GET*, HOT*, *.HTM, *WAB, и некоторые другие.
Результаты сканирования затем сохраняются в специальных DLL файлах в системной
директории Windows:

SCD.DLL - содержит список файлов "ext1"
SCH1.DLL, SCI1.DLL - содержат списки адресов электронной почты, найденных в
сканированных файлах

Также червь может создавать файлы SCT1.DLL и SCY1.DLL в системной директории
Windows, в которых хранит дополнительную служебную информацию.

Внедрение в систему

Червь копирует свои файлы в следующие директории:

Директории \RECYCLED и \WINDOWS под именем SirC32.exe, например:
C:\WINDOWS\
C:\RECYCLED\SirC32.exe
Системная директория Windows под именем SCam32.exe.
Директория Windows под именем ScMx32.exe.
Директория автоматического запуска Windows под именем "Microsoft Internet Office.exe".


Важно отметить, что не все эти действия червь выполняет только при первоначальном
запуске. Некоторые из файлов создаются только при определенных условиях позднее.

Системные атрибуты всех перечисленных выше файлов имеют флаг "Hidden" ("Скрытый").

Первые два файла червь регистрирует в секции автоматического запуска программ
системного реестра Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Driver32 = %windows sytem directory%\SCam32.exe

HKCR\exefile\shell\open\command
SirC32.exe

После этого червь создает дополнительный файл-приманку (см. выше) во временной
директории Windows, причем данный файл имеет имя в соответствии с шаблоном "filename.ext1".
Затем червь пытается открыть данный файл при помощи программ WINWORD.EXE, WORDPAD.EXE,
EXCEL.EXE или WINZIP.EXE (в зависимости от расширения "ext1").

Червь также создает дополнительный ключ "HKLM\SOFTWARE\SirCam" в системном реестре
Windows, где хранит свою служебную информацию.

Распространение по сетевым ресурсам

Для распространения по локальной сети червь сканирует все доступные сетевые
ресурсы (ищет доступные директории на удаленных компьютерах) и копирует туда
свои файлы. В случае обнаружения на удаленном компьютере директории "\recycled",
червь записывает себя в нее под именем SirC32.exe:

\recycled\SirC32.exe
После этого червь модифицирует файл AUTOEXEC.BAT, добавляя в него следующую
команду:
@win \recycled\SirC32.exe

Если на компьютере имеется директория "\Windows", то червь изменяет имя системного
файла RUNDLL32.EXE на RUN32.EXE, а на место RUNDLL32.EXE записывает свою копию.
Как указывалось выше, все копии червя имеют атрибут "Hidden" ("Скрытый").

Деструктивные процедуры

В зависимости от текущей системной даты и времени, червь с вероятностью 5% удаляет
все файлы и поддиректории в директории Windows.

При каждой загрузке операционной системы с вероятностью 2% червь создает файл
SirCam.Sys в корневой директории текущего диска и записывает в него следующий
текст:

[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
[SirCam Version 1.0 Copyright c 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan
Mexico]

С каждым разом червь добавляет этот файл, тем самым постепенно поглощая свободное
место на диске. Эти и многие другие текстовые строки в теле червя содержатся
в зашифрованом виде.
http://subscribe.ru/
E-mail: ask@subscribe.ru 		Отписаться Рейтингуется SpyLog
В избранное