Недельный отчет о вирусах

В ЭТОМ ВЫПУСКЕ: ЧЕРВИ SQLSLAMMER И NETSPREE, А ТАКЖЕ ТРОЯНЕЦ WINPAO.

Екатеринбург, 3.02.2003 - Самой нашумевшей и серьезной вирусной атакой за последние 18 месяцев стала деятельность червя SQLSlammer. Этот червь вызывает отказы от обслуживания (denial of service) на корпоративных серверах, используя брешь в системе защиты Microsoft SQL Server. В результате многие сети и сетевые коммуникации оказались блокированы.

Червь Netspree способен заразить компьютеры, работающие под управлением любой версии операционной системы Windows. Несмотря на это, распространяется он только через сетевые диски компьютеров с операционными системами Windows XP/2000/NT. Этот вредоносный код соединяется с сервером IRC через порт 6667 и делает доступной конфиденциальную информацию на том компьютере, на котором он находится. Практически, компьютер становится беззащитным, так как любой посторонний пользователь может получить доступ к системе. Еще одной возможностью вируса является способность вызывать отказы в обслуживании (DoS).

Netspree создает в системной папке Windows файл WIN32LOAD.EXE, содержащий код червя. Этот файл загружается в память компьютера и остается резидентным, ожидая установления соединения с сетью Internet. После обнаружения соединения вирус загружает из сети файл LCP_NETBIOS.DLL, содержащий утилиту PSEXEC.EXE, а также файл с расширением BAT. В BAT файле содержатся команды для соединения с удаленной системой и выполнения заражения. Помимо перечисленного, Netspree создает определенные записи в системном реестре Windows для запуска при каждом включении компьютера.

Основной целью троянца Winpao является похищение конфиденциальной информации с зараженного компьютера и отправка ее создателю вируса. Программа собирает следующую информацию: имя сервера, пароль для доступа к электронной почте, полученные сообщения, темы сообщений, файл с паролями, данные идентификации для SMTP, имя пользователя и пароль и т.д. Также этот вирус прерывает выполнение процессов, связанных с работой антивирусных программ и системных мониторов.

Признаком присутствия Winpao на компьютере является появление на жестком диске файлов с различными именами без каких-либо на то видимых причин. Вредоносная программа создает файл ESPLORER.EXE в системной папке Windows, а также многочисленные копии самой себя на жестком диске зараженного компьютера. Также необходимо отметить, что этот троянец изменяет некоторые записи в системном реестре Windows для загрузки себя в память компьютера до запуска или открытия каких-либо файлов с расширениями EXE, CHM, INI, REG, SCR и TXT. Если пользователь ограничится удалением файлов, созданных вирусом, но не восстановит системный реестр, то на таком компьютере невозможно запускать файлы с вышеуказанными расширениями.

Для получения дополнительной информации об описанных и прочих вирусах посетите сайт Вирусной энциклопедии Panda Software по адресу: http://www.pandasoftware.com/virus_info/encyclopedia/.

Опубликовано: 3 февраля 2003 г.

Ключевые слова: нет

Извините, комментариев пока нет