Prim Hírek

Ezek közül kiemelkednek a Mimail variánsok, különösen azért, mert Szappanos Gábor a Virus Bulletinben megjelent cikkében a reprodukciós ciklusukat, fertőzési folyamatukat elemezve eljutott arra a következtetésre, hogy vélhetően a féreg .zip formátumba tömöríti magát, és valamikor, előre nem jósolható okból ismét elindul a Mimail hullám, de nagy biztonsággal ennek "aktív résztvevői" különféle mutánsok lesznek. Igaza volt...

Ezenkívül megemlítendő, hogy a hálózati férgek - melyek közül több többször rendelkezik backdoor - aktivitása nőtt. Meglepetésszerű a trójaiak tömeges megjelenése, de esetükben sem beszélhetünk "egyszerű" trójairól. Mindegyik rendelkezik különleges - a fajtára nem jellemző - tulajdonsággal is. Végül nem hagyhatjuk ki a Lenti család Yaha-X egyedét, mely elődeihez hasonlóan azon "vendégek" közé tartozik, melyeknek nem örülünk.


A W32/Agobot-AF egy hálózati féreg, amely jogosulatlan hozzáférést engedélyez a megfertőzött rendszerhez IRC csatornán keresztül A W32/Agobot-AF a gyenge jelszóval védett hálózati megosztásokon keresztül terjed, kihasználva az ismert DCOM RPC és RPC locator hibát. Ezek a hibák lehetővé teszik a féreg számára, hogy a távoli számítógépeken programot futtasson rendszerszintű hozzáféréssel. További információk a hibákról és arról, hogy milyen módon lehet a hibák okozta sebezhetőséget megszüntetni, a Microsoft MS03-026 és MS03-001 számú közleményében találhatóak.

A W32/Agobot-AF bemásolja magát a Windows system könyvtárba SCVHOST.EXE néven, és a következő registry bejegyzést hozza létre:


W32/Agobot-AF megkísérli leállítani az antivírus és a biztonsági programok jelen lévő folyamatait.


A W32/Marq-A e-mail féreg egy e-mail levelet küld, amely egy linket tartalmaz, a link aktiválásakor egy zelig.scr nevű fájl töltődik le, amely a férget tartalmazza. A féreg által küldött e-mailnek a következő jellegzetességei vannak.


A "poesie catartiche" szövegrész tartalmazza a férget letöltő linket.

A W32/Marq-A elküldi magát a felhasználó Windows Address Bookjában talált összes e-mail címre. A W32/Marq-A megváltoztatja a Windows Marquee screensaverének a szövegét a következőkre "A volte ti sento cos vicinia...A volte ti sento cos lontana...Certo che hai proprio un cellulare di merda!".


A W32/Agobot-AC egy változata az Agobot családnak egy backdoor komponenssel kibővítve. Ez a verzió elhelyez egy regloadr nevű fájlt a Windows system folderben, és a következő registry bejegyzéseket hozza létre:



A W32/Randex-Q egy hálózatokon terjedő féreg backdoor képességekkel, amely lehetővé teszi egy távoli felhasználó számára a megfertőzött számítógép irányítását egy IRC csatornán keresztül. A W32/Randex-Q véletlenszerűen generál egy IP címet és megpróbál csatlakozni hozzá az IPC$ megosztáson keresztül egyszerű jelszavak felhasználásával. Ha a csatlakozás sikeres volt, akkor a féreg elhelyezi a másolatát a következő könnytárakba:


Ezek után a W32/Randex-Q egy ütemterv szerint indítja el a távoli számítógépeken elhelyezett fájlokat. Minden alkalommal, amikor a féreg fut, megpróbál csatlakozni egy távoli IRC szerverhez egy külön csatornán keresztül. A féreg ilyenkor a háttérben fut, mint egy szerverfolyamat, és figyeli a beérkező utasításokat. A féreg első futásakor elhelyez egy Musirc4.71.exe nevű fájlt a Windows rendszer könyvtárba, és létrehozza a következő registry bejegyzéseket:






A VBS/Flea-A HTML e-mailek útján terjed. A féreg a HTML levél aláírásaként érkezik. Amikor a HTML e-mailben lévő betöltődik, a HTML kódban lévő javascript lefut. A javascript ezek után betölt egy másik weblapot, amelyen egy VB Script fut. A VB Script elhelyez egy fájlt a fürtözött gépen C< véletlen szám >.HTM néven a Windows folderben. Ez a fájl lesz beállítva aláírásként az Outlook Expressben.


A W32/Holar-I egy internetes féreg, amely fájlmegosztásokon, peer-to-peer hálózatokon és e-maileken keresztül terjed. A terjedéshez szükséges e-mail címeket a helyi gépeken lévő helyekről szerzi be, mint például az Outlook address bookja és TXT, HTML,HTM és EML fájlok. A féreg által küldött e-mailek tárgysorának az alábbi tartalma lehetséges:





A csatolt fájl tartalmazza a futásra kész férget.

A W32/Holar-I megkeresi a registryben a KaZaA megosztott mappájának az elérési útját, és erre a helyre bemásolja magát PIF, EXE, COM, BAT vagy SCR kiterjesztésekkel. (Például: :\Program Files\KaZaA\My Shared Folder\Kazaa.bat.) A W32/Holar-I bemásolja magát még a Windows rendszer könyvtár alá a futáskor meglévő néven SYS kiterjesztéssel. Más fájlokat is létrehoz a Windows system könyvtárba, amelyeket szintén bemásol a Windows temp könyvtárba, beleértve az explore.exe, smtp.ocx és a.pif (lehetséges még EXE,BAT,SCR vagy COM kiterjesztéssel is).

A smtp.ocx egy létező szoftverkomponens, és ezért a felismerés nem terjed ki erre a fájlra.

A következő registry bejegyzést hozza létre a féreg, hogy a rendszer minden indulásakor elinduljon.


A következő registry bejegyzéseket hozza létre azzal a szándékkal, hogy a fertőzést jelezze és számlálja a vírusos rendszerindításokat.


A HKCU\DeathTime registry bejegyzés tárolja azt a számot, ahány alkalommal a W32/Holar-I futott. Amikor az érték eléri a harmincat, a számítógép nem válaszol a bejövő üzenetekre, és a következő üzenetet írja ki a teljes képernyőre vörössel: "! have noth!na say bam st!ll ZaCker !" Ez történik minden alkalommal. amikor a számítógép elindul, egészen a féreg eltávolításáig.


A Sophos észlelte, hogy a W32/Sober-Enc a W32/Sober-A mintája, mivel az eredeti base64 kódolású. A fájl a jelenlegi állapotban nem veszélyes.



A W32/Mimail-C féreg e-mailen keresztül terjed a fertőzött gépeken lévő e-mail címeket használva. Az összes összegyűjtött címet az eml.tmp fájlban tárolja a Windows könyvtárban. Azért, hogy minden alkalommal elinduljon, amikor a Windows indul, a W32/Miail-C bemásolva magát netwatch.exe néven a Windows folderbe és registrybe a következő bejegyzést illeszti be:



Photos.zip egy tömörített fájl, amely egy futtatható fájlt tartalmaz, amelynek a neve photos.jpg.exe.


Leírás:

A Mimail-E hasonlóan elődeihez, ill. mutánsaihoz elsősorban levéllel terjed, de minden csatornát ki tud használni a fertőzésre. A levélcímeket a fertőzött gép címjegyzéke mellett a htm-ekből, a cookie-kből gyűjti, és küldi el minden címre másolatát.

Annak érdekében, hogy minden indításkor fusson, a rendszerleíró adatbázis egyik kulcsát írja át:


A fertőzött levél jellemzői:


A W32/Mimail-egy véletlenszerűen alkotott címről, általában john@

avi, bmp, cab, com, dll, exe, gif, jpg, mp3, mpg, ocx, pdf, psd, rar, tif, vxd, wav, zip

A W32/Mimail-E DoS (denial of service) támadást próbál indítani azokról a helyekről., melyeket megfertőzött.




Leírás:

A W32/Mimail-F hasonlóan az -E változathoz leveleken terjed, a címeket ugyanúgy minden lehetséges fájlból begyűjti, és a "címbázisát" eml.tmp fájlban tárolja a Windows könyvtárban. Állandófutása érdekében a Windows start-up mappájába másolja magát sysload32.exe néven, ezenkívül a regisztrációs adatbázis alábbi kulcsát módosítja:


A fertőzött levél jellemzői:


A W32/Mimail-F tulajdonsága, levélküldése, a kreált feladó, a címek gyűjtése a Mimail-E-vel megegyezik. A W32/Mimail-F megpróbál előkészíteni egy DoS támadást (denial of service attack) a mysupersales.com és www.mysupersales.com lapok ellen..


A vírust a Sophos detektálta és analizálta november 3-án GMT 10:13-kor úgy, hogy más vírusinformációs állomány szűrte ki.

Leírás:

A W32/Mimail-H tulajdonságai kis eltérésekkel, átfedésekkel megegyeznek az elődeivel. Az állandó futás miatt szintén módosítja a rendszerleíró adatbázis egy kulcsát:


A fertőzött levél jellemzői:


W32/Mimail-H szintén john@ feladói nevet "használ"

Elődeihez hasonlóan zip formátumban terjed, Readnow.zip, mely egy tömörített futtatható állományt - a többi variánshoz hasonlóan - readnow.doc.scr - tartalmaz.. Szintén a Windows könyvtárba hozza létre a fertőző ágenst tartalmazó exe.tmp és readnow.zip, ill. zip.tmp, állományokat. Egy jelentős tulajdonsága miatt különbözik variánsaitól: a W32/Mimail-H képes arra, hogy generáljon és továbbküldjön "korrupt" readnow.zip másolatokat.

Egyébként a címgyűjtési módszer, a küldés megegyezik a többi Mimailéval. A Mimail-H DoS támadással fenyegeti a következő lapokat:


Itt meg kell állni egy pillanatra: a Mimail féreg és a Klez szaporodási, reprodukálási ciklusaival a VirusBuster munkatársa, Szappanos Gábor foglalkozott, és írt egy nagyszerű tanulmányt, amit a Vírus Bulletin adott ki. Részletesen elemzi a ciklusokat, azok kiszámítható idejét, és tökéletes pontossággal számította ki a vírustelítettség miatti fertőző hullám megszűnését. Egyben jelezte, hogy a vírus változatlan formában tömöríti magát egy ".zip" állományban, mely ki nem számítható okból és időben ismét aktív vírusokat terjeszt. Kiválóan jegyezte meg azt is, hogy a reprodukciós ciklusokat ismerve, annak ellenére, hogy a .zip állomány a "valódi vírust tartalmazza", feltehetően a fertőző - és vélelmezhetően hasonló intenzitással terjedő - ágens már nem a "valódi Mimail", hanem annak egy mutánsa lesz. Igaza volt...


Leírás:

W32/Agobot-AG egy IRC backdoor és hálózati Trojan. A W32/Agobot-AG a helyi hálózatokon terjed, azokat a gépeket megfertőzve, melyek erre csatlakozva gyenge jelszóval védettek. Amikor először fut, aktivizálódik a W32/Agobot-AG, a Windows system mappába másolja magát, és a rendszerleíró adatbázis kulcsait módosítja, további futása érdekében, a változások miatt minden rendszerindításkor a féregprogram is futni fog:


A W32/Agobot-AG futása közben egy specifikus csatornán megpróbál kapcsolódni egy távoli IRC szerverhez, ahonnan vélhetően irányítani tudják, vagy állományokat képes letölteni - így a féreg sikeres "visszacsatolása" miatt az említett csatornán az egész gép irányítása átvehető. A W32/Agobot-AG összegyűjti a system információkat és a gépeken futó játékok regisztrációs kulcsait. Ennyi információ elegendő ahhoz, hogy a fertőzött gépek "security" programjait leállítsa.


Leírás:

A W32/Yaha-X elődeihez hasonlóan a fertőzött gép SMTP funkcióját kihasználva küldi szét önmagát, és a fertőzéskor mind az áldozat gép megosztott és fix meghajtóira másolja magát. Bemásolja magát a Windows System mappába CMDE32.EXE és MEXPLORE.EXE néven, majd a gép újraindításakor az alábbi változásokat teszi, azért, hogy ezt követően állandó futását biztosítsa:


A féreg a win.ini-ben is bejegyzéseket változtat, mintegy duplán biztosítva futását.

A W32/Yaha-X képes kicserélni a valódi regiszrtációs bejegyzéseit is azon állományoknak, melyek tartalmazhatják, ill. melyekben aktívan fut.: az EXE, SCR, PIF, COM, BAT fájlokét:


A W32/Yaha-X egy szöveges állomány elhelyezésével képes a Windows mappa HOSTS és LMHOSTS állományaival, melyek az 127.0.0.1 IP címet tartalmazzák (localhost), meghívni a következő címeket:


A W32/Yaha-X a Microsoft Internet Explorer and Outlook Express IFRAME sebezhetőségét használja ki. Részletes analízise folyamatban van.


Leírás:

A W32/Spybot-W tipikus "peer-to-peer worm" ami hálózati meghajtókon, e-mailokkal, Messengeren és IRC-n terjed. Az automatikus futás érdekében a Windows mappa indítópultjába másolja magát wupdated.exe néven, így a wupdate (Windows Update Service) folyamatba regisztrálja magát. A féreg képes bemásolni magát egyszerű felhasználónevekkel és jelszavakkal hálózati meghajtók Windows system mappájába, mint "wupdated.exe", és a fertőzött gépen elindítja futtatja önmagát, mint Windows Update Service.

A féreg felhasználónév-jelszó kombinációi:





Az IRC-n történő terjedése miatt a populáris mIRC kliens gépet konfigurálja, olyan csatornára irányítva, melyet megfertőzött, és ahonnan akarva-akaratlanul letölti az áldozati gép. A W32/Spybot-W terjedhet még az MSN, AIM and Yahoo messengereken egyszerű üzenet formájában: "hey, check out this funny pic: http://www.rf-mods.com/bot.pif."

A W32/Spybot-W IRC backdoor (hátsóajtó) komponense billentyűzetfigyelő tulajdonságokkal (keylogging) is rendelkezik. Ezáltal kapcsolatba lépve egy bizonyos IRC szerverrel, megfertőzheti az oda csatlakozó gépeket is.


Leírás:

W32/Spybot-V "peer-to-peer worm and backdoor Trojan" ami a Windows system könyvtárba másolja magát iexplore.exe néven, és e mellett véletlenszerű neveken jegyzi magát az alábbi regisztrációs kulcsba:


A féreg létrehoz egy \kazaabackupfiles-t és bemásolja magát divx.exe, fdd.exe, fuck.exe, gay.exe, lesbiansex.exe, matrix.exe, pamela.exe, porn.exe, slsk.exe, torrent.exe , xvid.exe neveken, hasonlóan ugyanígy a regisztribe is.

HKCU\Software\Kazaa\LocalContent\Dir0

A W32/Spybot-V végül a backdoor funkciót kihasználva információkat szolgáltat a fertőzött gépekről.


Leírás:

A Troj/BDSinit-A (hátsóajtó) backdoor Trojan (trójai). A Troj/BDSinit-A bemásolja magát a Windows system mappába SVCINIT.EXE néven, és "természetesen" állandó futását biztosítandó a regisztrációs adatbázisba is bejegyzéseket tesz:


A Troj/BDSinit-A hasonló okból módosítja a WIN.INI bejegyzéseit. Troj/BDSinit-A kinyit egy tetszőleges portot, melyen fogadja az utasításokat. Ez is biztosítva a regisztri alábbi bejegyzését hozza létre:



Leírás:

A trójai az alábbi levéllel érkezik:



A Troj/Webber-C két komponensből összeálló hátsóajtó trójai. A csatolt részben lévő féreg az ún. loader komponense orosz lapról tölt le egy fájlt: neher.gif. A neher.gif nem GIF kép, hanem file, "jelszólopó" - a jelszavakat a trójai segítségével tölti le.

A jelszólopó trójai keresi a passwords cache-t a "cél gépen" (URL passwords, share passwords, dial-up passwords etc.), majd mindezt egy CGI scriptként küldi el egy bizonyos címre. Természetesen a fertőzött gépre a Windows system mappába változó nevű fájlok és dll-ek formájában másolja magát - természetesen bármikor működő formában.

Az automatikus futását az alábbi bejegyzés teszi lehetővé:


A Troj/Webber-C, hogy fokozza "tudását", proxyszerverként is funkcionálhat.


Leírás:

A Troj/Muly-A "backdoor Trojan", mely a háttérben futva, mint szervizalkalmazás képes megfertőzni távoli, autorizálatlan hálózati gépeket. A Trojan a Windows system mappába másolja magát DIVX.EXE néven, és az alábbi változást jegyzi be a regisztrációs adatbázisba - biztosítva ezzel folyamatos aktivitását:


A Troj/Muly-A egy tetszőleges portot (általában a 6000-t) kinyitva egy CGI script formájában állandó információkat küld a (http://69.56.204.206) weblapra.

A Troj/Muly-A szükség esetén erről a lapról frissíti (update) magát.