Недельный отчет о вирусах

В отчете, посвященном событиям прошедшей недели, мы рассмотрим червей Bagz.H и Mitglieder.AY, а также троянца Citifraud.A.

Екатеринбург, 9 ноября 2004.

Bagz.H распространяется по электронной почте. Для этого он ищет адреса в файлах с расширениями DBX, HTM, TBB, TBI или TXT на пораженных компьютерах. Однако он не рассылает себя по всем найденным адресам, т.к. он избегает адресов, содержащих такие сочетания символов как abuse, admin. или administrator@ и пр.

Сообщение, содержащее Bagz.H, не имеет фиксированного формата, так как тема, текст сообщения и имя вложенного в него файла могут изменяться. Если пользователь запускает вложение, Bagz.H устанавливает себя как сервис Xuy v palto. Более того, данный червь изменяет файл Windows hosts, не позволяя получить доступ к определенным веб адресам.

Bagz.H также удаляет записи в Реестре Windows, принадлежащие определенным антивирусным программам и системам защиты, а также создает новые записи, позволяющие ему активироваться при каждом запуске компьютера.

Mitglieder.AY – это вредоносный код, тесно связанный с Bagle.BC и Bagle.BE (обнаруженным несколько дней назад), поскольку он пользуется результатами деятельности данных червей и попадает на компьютер непосредственно из сети Интернет. Mitglieder.AY использет лазейку, создаваемую обеими версиями Bagle в порте TCP 81. Mitglieder.AY сканирует все IP адреса, на которых открыт порт TCP 81. При обнаружении открытого порта он копирует себя на компьютер под именем winshost.exe.

После этого Mitglieder.AY завершает процессы в памяти компьютера, принадлежащие различным приложениям. Более того, каждые шесть часов он пытается загрузить файл zoo.jpg с определенного веб адреса. В случае успешной попытки файл сохраняется на компьютере под именем File.exe. При запуске данного приложения на зараженный компьютер загружается другая вредоносная программа.

Закончим наш сегодняшний обзор описанием тряонца Citifraud.A, который представляет собой файл, составленный в формате HTML и использующий известную брешь в Microsoft Internet Explorer. Он содержит ссылку на веб сайт известного банка. Однако, на самом деле, эта ссылка открывает фальшивый сайт, имитирующий заглавную страницу оригинального. Таким образом, троянец пытается похитить данные о счетах, которые вводит пользователь, чтобы позволить хакеру получить доступ к данным счетам.

Более подробную информацию об этих и других вирусах Вы найдете на сайте Вирусной Энциклопедии Panda Software по адресу: http://www.pandasoftware.com/virus_info/encyclopedia/

О Вирусной лаборатории PandaLabs

Получив подозрительный файл, технический персонал Panda Software приступает к работе. Полученный файл анализируется, и, в зависимости от его типа, предпринимаются следующие действия: дизассемблирование, проверка макросов, анализ кода и т.д. если проанализированный таким образом файл действительно содержит новый вирус, немедленно подготавливаются необходимые средства для обнаружения и обезвреживания вредоносного кода, которые быстро распространяются среди пользователей.

Опубликовано: 9 ноября 2004 г.

Ключевые слова: нет

Извините, комментариев пока нет