Başlangıç Tehditler Email-Worm Email-Worm.Win32.BadtransII
Bu, Win32 sistemleri altında yayılan bir kurtçuk. Virüs, virüs bulaşmış dosyalar ile birlikte e-posta iletileri gönderir ve virüslü sistemlerden bilgi çalmak için casusluk yapan bir Truva atı bileşeni yükler. Solucan 2001 yılında Kasım ayında keşfedildi.
Solucan kendisi bir Win32 yürütülebilir dosyası (PE EXE dosyası) 'dir. Sıkıştırılmış formda vahşi bulundu ve yaklaşık 29Kb büyüklüğündedir. Sıkıştırıldıktan sonra, sonsuz dosya uzunluğu yaklaşık 60Kb olur.
Solucan, Solucan ve Truva olmak üzere iki ana bileşenden oluşur. "Solucan" bileşeni virüslü iletileri gönderir ve "Truva atı" bileşeni, virüslü bilgisayarlardan belirli bir e-posta adresine bilgi (kullanıcının bilgileri, RAS verileri, önbelleğe alınmış parolalar, klavye günlüğü) gönderir. Aynı zamanda kodunda bir "keylogger" program gövdesini tutar ve yeni bir makine enfekte ederken sisteme yükler.
Virüs bulaşmış bir dosya çalıştırıldığında (kullanıcı ekli bir dosyayı tıklatıp etkinleştirdiğinde ya da solucan IFRAME güvenlik ihlali yoluyla denetim kazanırsa), solucan kodu denetimi kazanır. Her şeyden önce, bileşenlerini sisteme indirir (kurar) ve sistem kayıt defterine kaydeder.
Yüklü Truva dosya adı, hedef dizin ve kayıt defteri anahtarı isteğe bağlıdır. Bunlar, dosya ucundaki Truva dosyasında şifrelenmiş biçimde depolanır. Bir bilgisayar korsanı bunları bir kurbanın makinesine göndermeden önce veya bir Web sitesine koymadan önce yapılandırabilir.
Solucan ayrıca sisteme ek bir klavye hooker (Win32 DLL dosyası) düşer ve sonra bir klavye tarafından girilen metin üzerinde casusluk için bunu kullanır. DLL dosya adı da isteğe bağlıdır.
Diğer isteğe bağlı özellikler şunlardır:
– Kurulum tamamlandığında solucan orijinal virüslü dosyayı siler
– klavye günlük dosyasının boyutu
Virüs bulaşmış mesajları göndermek için solucan bir SMTP sunucusuna doğrudan bağlantı kullanır. Bir mağdurun e-posta adresleri iki farklı şekilde elde edilir:
# 1. Solucan * .HT * ve * .ASP dosyalarını tarar ve buradan e-posta adreslerini çıkarır.
# 2. MAPI işlevlerini kullanan solucan, gelen kutunun tüm e-postalarını okur ve buradan e-posta adresleri alır.
Daha sonra, solucan enfekte mesajları gönderir. İleti gövdesi HTML formatı içerir ve hassas makinelerdeki virüslü ekleri oluşturmak için bir IFRAME ihlali kullanır.
Mesaj alanları aşağıdaki gibidir:
Gönderen: – Orijinal gönderen veya sahte adres, rastgele seçilen:
Orijinal gönderici adresi biraz değiştirilmiş: "_" karakteri oradaki e-posta adresinden önce eklenir, örneğin:
"John K. Smith" "Vasja Pupkin" – Orijinal adres
"John K. Smith" <_john123@yahoo.com> "Vasja Pupkin" <_vasyap@rambler.ru> – solucan tarafından gönderildi
Konu : boş ya da "Re:", ya da "Re:" ve ardından gerçek Inbox messsage'den orijinal Konu takip edin (yukarıdaki # 2'ye bakın).
Gövde : boş
Ek : rastgele seçilen "dosyaadı + ext1 + ext2" Burada:
Resimler (veya PICS) Kartı (veya CARD)
görüntüler (veya GÖRÜNTÜLER) Me_nude (veya ME_NUDE)
news_doc (veya NEWS_DOC) dokümanlar (veya DOCS)
HAMSTER Mizah (veya MEMOR)
Şişmansın! (veya YOU_ARE_FAT!) eğlenceli (veya EĞLENCE)
Solucan, enfekte mesajları aynı adrese iki kez göndermez. Bunu yapmak için, Windows sistem dizinindeki tüm virüslü e-postaları bir PROTOCOL.DLL dosyasında depolar ve yeni bir ileti göndermeden önce bu dosya içeriğini kontrol eder.
Casusluk Truva atı
Bu rutin, çalıntı bilgileri bir günlük dosyasına (isteğe bağlı bir adla) kaydeder ve bu bilgiyi bir anahtarla (isteğe bağlı olarak) şifreler. Bir süre sonra, bu bilgi bir dizi rastgele seçilmiş e-posta adresinden birine gönderilir. Bu adreslerin bir listesi aşağıda yer almaktadır; listede 22 adres ve e-posta sunucusu bulunmaktadır; ve bu mesajlar (email + server) yoluyla gönderilir:
cxkawog@krovatka.net Instagram Hesabındaki Resim ve Videoları imap.front.ru
24 Kasım 2001'de vahşi olarak bulunan bu solucan varyantı aşağıdaki seçeneklere sahiptir:
Kendisini bir Windows sistem dizinine KERNEL32.EXE adıyla yükler ve aşağıdaki kayıt defteri anahtarına kaydeder:
KDLL.DLL adıyla bir klavye fahişe düşer. Günlük bilgisi, CP_25389.NLS ismi ile Windows sistem dizininde saklanır.