Разделы

|

Появился первый вирус-шпион

Появился новый неопасный нерезидентный полиморфный вирус, заражающий файлы в формате PortableExecutable (исполняемые файлы для MS Windows 95/98/NT). При заражении вирус Win32.Parvo.13857 не изменяет стартовый адрес программы, внедряет в точку вход до 256 байт полиморфного кода, одна из инструкций которого передает управление основному вирусному коду, который записывается в последнюю сегментную секцию инфицированной программы. Вирус заражает только 15 определенных программ, которые он определяет по 32-разрядной контрольной сумме их имен. Ими являются файлы с именами CUTFTP32.EXE, IEXPLORE.EXE, INSTALL.EXE, INSTALAR.EXE, MSIMN.EXE, NETSCAPE.EXE, NOTEPAD. EXE, NTBACKUP.EXE, ORDER.EXE, RASMON.EXE, SETUP.EXE, TELNET.EXE, WAB.EXE, WABMIG.EXE и WINZIP32.EXE. Признаком заражения для Win32.Parvo.13857 является длина файла, кратная 101. После заражения файлов в текущем каталоге диска, в каталоге \WINDOWS и в \WINDOWS\SYSTEM он приступает к заражению удаленных компьютеров. Вирус загружает в память два системных модуля WSOCK32.DLL и RASAPI32.DLL, отвечающих за работу удаленного доступа компьютера, и определяет 10 адресов процедур для WSOCK32.DLL и 3 адрес процедур для RASAPI32.DLL. После чего вирус детектирует наличие сервиса удаленного доступа компьютера (например, модемной связи с узлом Интернет). Если так я связь существует, вирус пытается установить соединение по протоколу NNTP с одним из двух серверов новостей (news-servers), находящихся в Испании (DNS этих серверов присутствуют в теле вируса). Когда соединение установлено, вирус запрашивает у сервера заголовок первой статьи случайно выбранной им конференции из определенного списка. Далее вирус устанавливает связь по протоколу SMTP с одним из шести определенных в теле вируса почтовых серверов (mail-servers), пытается отправить письмо с собственным дроппером тому пользователю, имя, которого вирус выяснил при общении с сервером новостей. После удачной или неудачной попытки отправить свою копию по сети, вирус выгружает модули WSOCK32.DLL и RASAPI32.DLL, но тут же их опять загружает, снова определяет необходимые для него адреса все тех же процедур и пытается соединиться опять же по протоколу SMTP с одним из шести почтовых серверов, чтобы отправить на один из адресов данные о последнем соединении инфицированного компьютера. Очевидно, что все эти адреса принадлежат создателю вируса. Итак, вирус отправляет своему "хозяину" письмо, и в результате тот может получить бесплатный доступ, соединившись с провайдером пользователя под его именем с его паролем. А также может получить доступ к компьютеру пользователя.
Впрочем, не все так страшно. Для работы с сетью вирус проверяет версию модуля WSOCK32.DLL, и если он не совпадает с запрашиваемой, то вирус не устанавливает соединения с серверами. Кроме того, работа с двумя испанскими серверами новостей по протоколу NNTP из России невозможна: они фильтруют приходящие к ним запросы и разрешают работать только испанским пользователям. Детектирование данного вируса уже вставлено в очередной файл-дополнение к DrWeb компании "ДиалогНаука", которое готовится к выпуску в ближайшие дни.
ИТ-рынок за 25 лет: знаковые события
Спецпроект

Подписаться на новости Короткая ссылка


Другие материалы рубрики

Проживем без VMware? Опубликован новый видеоподкаст «CNews.Лица»

Глобальный передел облачного рынка. Клиенты Amazon стремглав бегут к конкурентам – компания устарела и погрязла в бюрократии

CNews Analytics впервые опубликовал карты рынка ИТ-услуг и системной интеграции

На конференции «Яндекс 360» обсудят прогрессивные технологии для совместной работы

ИТ-рынок за 25 лет: знаковые события

Volvo и Volkswagen под угрозой остановки из-за дефицита микросхем после захвата Европой китайского производителя чипов

Конференции

CNews FORUM 2025: Информационные технологии завтра

CNews Awards 2025

Толк Шоу
Показать еще

CNewsMarket

Email-рассылки

Выбор сервиса для почтовых рассылок

От 0.13 руб./месяц

Онлайн-бухгалтерия

Выбрать тариф на онлайн-бухгалтерию

От 1 300 руб./месяц

ERP

Подобрать тариф на IP-телефонию и виртуальную АТС

От 1 046 руб./месяц

СЭД

Подобрать систему электронного документооборота СЭД (ECM)

От 1 360 руб./месяц

Техника

Как сделать умный телевизор полезным: 10 лучших приложений для Android TV

Обзор смартфона HUAWEI Pura 80: младший флагман с отличной камерой

Лучшие телевизоры с OLED-экраном стоимостью до 150 000 рублей: хиты продаж

Показать еще

Наука

Космические «замочные скважины» — отсроченная катастрофа, через них астероиды могут вернуться на Землю

С помощью света удалось создать уникальные кристаллы времени, их можно увидеть невооруженным глазом

Красные точки, которые назвали разрушителями Вселенной — замаскированные черные дыры?
Показать еще
Будущее IT и цифровых коммуникаций обсудят на Толк Шоу Будущее IT и цифровых коммуникаций обсудят на Толк Шоу

erid: 2W5zFH93NQ8

Рекламодатель: Акционерное общество «Производственная фирма "СКБ Контур"

ИНН/ОГРН: 6663003127/1026605606620

Сайт: https://kontur.ru/