MAGAZINOK >
IT >
Biztonság > Számítógépünket kiszolgáltató féreg terjed
t: 2561
Számítógépünket kiszolgáltató féreg terjed
A fertőzött e-mail jellemzői
Feladó: hamis e-mailcím
Tárgy: a következők valamelyike:
. hello
. hi
. error
. status
. test
. Mail Transaction Failed
. Mail Delivery System
. SERVER REPORT
. [üres]
. [véletlenszerűen válogatott karakterek]
Tartalom: a következők egyike:
. The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
. Mail transaction failed. Partial message is available.
test
. The message contains Unicode characters and has been sent as a binary attachment.
. [üres]
. [véletlenszerűen válogatott karakterek]
Csatolmány: egy .bat, .cmd, .exe, .pif, .scr vagy .zip kiterjesztésű állomány, a következő név valamelyikén:
. body
. data
. doc
. document
. file
. message
. readme
. test
. text
. [véletlenszerűen válogatott karakterek]
Megjegyzés: ha a csatolmány ZIP állomány, akkor a file-nak van egy második kiterjesztése is: .doc, .txt, .htm vagy .html
A féreg paraméterei
Felfedezésének ideje: 2005. március 12.
Utolsó frissítés ideje: 2005. március 13.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 57.982 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: könnyű
Aktiválódása esetén lezajló események
- felmásolja magát a System könyvtárba scvhost.exe néven
- hozzáadja az SVCHOST=scvhost.exe bejegyzést a következő kulcsokhoz:
. HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run
. HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServices
. HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
. HKEY_CURRENT_USER/Software/Microsoft/OLE
. HKEY_CURRENT_USER/SYSTEM/CurrentControlSet/Control/SVCHOST
- megkísérel csatlakozni az irc.blackcarder.net domainhez a 6667-es TCP porton át, és alkotójától érkező parancsokra várakozik, melyek a következők lehetnek:
. file-ok letöltése, letörlése, lefuttatása
. önmaga frissítése
. a számítógép működési idejének megszerzése
- olyan számítógépek után kutat, melyek a Windows Local Security Authority Service Remote Buffer Overflow sebezhetőségnek ki vannak téve
- a következő kiterjesztéssel bíró állományokban kutat e-mailcímek után: .wab, .adb, .tbb, .dbx, .asp, .php, .sht, .htm, .pl
- a System/drivers/etc/hosts állományban olyan módosításokat végez, aminek következtében számos antivírus technológiával foglalkozó cég website-ja elérhetetlenné válik
- a fent ismertetett karakterisztikában e-maileket küld saját SMTP-motorja révén az összegyűjtött címekre
2005.03.15
Legfrissebb magazinok