Телефон горячей линии

   До сих пор вирусы в присоединенных файлах пересылались по Интернет самими пользователями. Но вот из Испании прислали новый шедевр, умеющий сам заражать компьютеры на расстоянии, рассылая в письмах свои копии.
Разумеется, активизация такого вируса на компьютере получателя невозможна без доброй воли самого получателя. Но если текст сопроводительного письма выглядит очень убедительно и заманчиво, то рука сама так и тянется запустить полученную в присоединенном файле программу...
Как следствие, пользователь может понести серьезные финансовые потери. И как оказалось, вирусу даже не обязательно как-то явно вредить непосредственно на компьютере пользователя. Вполне достаточно выполнить функцию "шпиона" и сообщить разведданные злоумышленнику.

   Win32.Parvo.13857

   Неопасный нерезидентный полиморфный вирус, заражающий файлы в формате PortableExecutable (исполняемые файлы для MS Windows 95/98/NT). При заражении файлов вирус Win32.Parvo.13857 не изменяет стартовый адрес программы, а внедряет в точку входа до 256 байт полиморфного кода, одна из инструкций которого передает управление основному вирусному коду, который записывается в последнюю сегментную секцию инфицированной программы. Для этого вирус изменяет характеристики данной секции и записывает в нее свою полиморфную копию.

    Полиморфный декриптор получает управление, расшифровывает тело вируса и предоставляет ему право распоряжаться дальнейшей своей судьбой. После заражения вирус детектирует наличие сервиса удаленного доступа компьютера (например, модемной связи с узлом Internet). Если такая связь существует, то вирус пытается установить соединение по протоколу NNTP с одним из двух серверов новостей (news-servers), находящихся в Испании (DNS этих серверов присутствуют в теле вируса).

    Соединившись с сервером новостей вирус ищет ключевое слово "FROM:" и запоминает адрес пользователя, пославшего данное письмо в эту конференцию. Далее вирус устанавливает связь по протоколу SMTP с одним из шести, определенных в теле вируса, почтовых серверов (mail-servers), пытается отправить письмо с собственным дроппером тому пользователю, имя, которого вирус выяснил при общении с сервером новостей. Делает это он следующим методом: формирует и передает серверу все необходимые поля для отправки письма и выбирает случайным образом заголовок и сам текст письма из трех возможных.

    Как уже было отмечено выше, вирус посылает не только письма малоинформативного содержания. Он еще и отправляет свой дроппер! Как? Очень просто. Для этого вирус создает простой PE EXE-файл длиной 20503 байта, единственная "рабочая инструкция" которого RET и заражает его, практически, таким же способом, что и обыкновенные файлы с той лишь разницей, что зашифрованный вирусный код записывается не в последнюю сегментную секцию, а во вторую секцию файла-дроппера. Далее вирус упаковывает этот файл стандартным почтовым алгоритмом MIME, делает ссылку в письме, что оно cодержит файл-приложение и отправляет все это "хозяйство" почтовому серверу. В результате в конце полученного письма может находиться следующая конструкция (пример из письма якобы "от Microsoft"): В результате пользователь получает (я сам отправил себе сотни таких вот писем) письмо, которое содержит вирус, который сам себя послал по сети и, который по возможности (если его запустит нерадивый пользователь), при первой же удачной попытке постарается отправить свою копию следующему пользователю, который имеет привычку "обитать" в перечисленных выше телеконференциях.

   
Тестирование:

    Вирус проявил себя, как "хороший" инфектор и в Windows 95, и в Windows NT. При моей обычной работе в инфицированной среде ничто не выдавало наличие вирусного кода в системе. "Жизнеспособен"! Но распространение вирусом своего кода через сервис удаленного доступа компьютера кажется мне трудноосуществимым из-за некоторой неточности в коде самого вируса и особенностей работы двух испанских серверов новостей.

    Во-вторых, работа с двумя испанскими серверами новостей по протоколу NNTP из России (и из других стран, отличных от Испании) невозможна по причине того, что данные серверы фильтруют приходящие к ним запросы и разрешают работать только испанским пользователям. Поэтому, распространителями вируса по сети Internet могут быть только "горячие" испанские парни,.. ну и девчонки, конечно же, тоже.

    Мораль сей басни такова: не запускайте программы, приходящие к Вам по Internet неизвестно откуда и неизвестно от какого вируса.

Связаться с нами:
cservice@bk.ru

ICQ 331678636


Компьютерный сервис. Скорая компьютерная помощь. Обслуживание компьютеров.
Установка программ. Подключение к Интернет. Создание и раскрутка сайтов, web-design.
Ремонт компьютеров. Обучение работе с компьютером.