Черви в компе и тараканы в голове

Xakep, номер #039, стр. 039-024-2

-----Файл-носитель----

-----Код-полиморфик invictus библиотеки----

-----Invictus.dll----

-----Тело самого червя----

Файл invictus.dll используется для заражения win32-приложений. При запуске аттача активизируется код-полиморфик библиотеки INVICTUS. Этот код создает на атакуемой машине файл invictus.dll, и затем червь запускает его. Toil прописывается в папку windows, вносит изменения в system.ini для загрузки себя при каждом рестарте. Рассылка писем с зараженными файлами происходит не по стандартной схеме (по всей адресной книге Аутлука), а по адресам, полученным из каталога ICQ White Pages. Вот несколько параметров поиска, задающихся червем: orgasm, sex, friendship, love, fuck. Письма с зараженными файлами могут иметь следующие фразы в поле subject:

Bin Laden toillete paper !!

Sadam hussein & BinLaden IN LOVE

Bush fucks Bin Laden hardly <:P

Is Osama Bin Laden BAD-LOVED ?

USA against Geneva Convention ?

Тело письма остается пустым.

Червь пытается выгрузить из памяти наиболее распространенные антивирусы, такие как AVP, MCAfee и Norton AntiVirus. Для AVP и Norton AntiVirus редактируются соответствующие ключи и значения реестра, отвечающие за их автозагрузку. Также червь расшаривает диск C: на атакуемой машине.

Находясь в локальной сети, червь пытается подключиться к сетевым ресурсам и при подключении скопировать себя в каталоги WIN, win2000, WIN2K, WINNT, WINDOWSXP, WINDOWS. Если удаленная машина работает на win9x/me, червь прописывает себя в автозагрузку. Toil имеет еще и графические функции. Он выводит на экран случайное количество раз строку

ALA DIO GOTT ZEUS JEOVA KRISHNA OXALA DIEU GOD SHIVA TUPA DIOS DEUS и сообщение, которое ты видишь на скриншоте.

После вывода сообщения все содержимое экрана превращается в некое подобие разобранной мозаики.

В основном, почтовые черви заражают машины невнимательных юзеров, которые запускают подряд все пришедшее к ним с почтой, не проверяя ничего на наличие вирусов. Поэтому Х рекомендует: не будь лохом; проверяй все аттачи на вири; юзай какой-нибудь непопулярный почтовый клиент (мы рекомендуем The Bat!), так как многие черви "заточены" под работу с M$ Outlook.

Mandragore

Этот червь размножается посредством сети обмена данными Gnutella. Весит всего 8кб. Заражает только win32-системы. Инфицирование компьютера происходит только после того, как пользователь запустит EXE файл. Червь копирует себя в каталог автозагрузки WINDOWS под именем GSPOT.EXE c атрибутами скрытого и системного файлов. Зараженный компьютер выдает себя за пользователя сети Gnutella. На все запросы о наличии того или иного файла червь радостно отвечает »есть». И как только удаленный пользователь посылает запрос на скачивание этого файла, червь передает себя, меняя свое имя на имя запрашиваемого файла. Если ты активный юзер сети Gnutella, то тебе стоит задуматься о своей безопасности. Для начала проверяй все скачанные в этой сети файлы последними версиями антивирусов. А вот если ты этой сетью не пользуешься, но у тебя есть подозрение, что ты заражен, то поставь какой-нибудь программный firewall, чтобы посмотреть, какой файл запрашивает соединения с Инетом и что он там пересылает.