MAD EXPLODE Security Response

W32.Novarg.A@mm

Общее описание

W32.Novarg.A@mm это вирус-червь, который рассылает себя по мылу.

Как только вы заразились, он отрывает на компе BackDoor на портах в диапазоне от 3127 до 3198, что позволяет хакеру подсоединиться и удаленно управлять машиной. И это еще не самое плохое. Он также может сдаунлодить произвольные файлы и запустить их.

Есть около 25% вероятности того, что с 1-го по 12 февраля начнется DoS атака на крупные серверы интернета, такие как www.microsoft.com.

Технические детали

1.

Создает следующие файлы:
%System%\Shimgapi.dll. Shimgapi.dll служит для открытия портов.
%Temp%\Message.
%System%\Taskmon.exe.

2.

Создает ключ в реестре:

"(Default)" = "%System%\shimgapi.dll"

в:

HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32

этим Explorer лодит shimgapi.dll

3.

Создает ключ:

"TaskMon" = "%System%\taskmon.exe"

в:

HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

Этим taskmon загружается вместе с Windows.

4.

Проверяет system date и если число от 1 февраля до 12-го, то есть 25% вероятности что начнется DoS (Denial Of Service) атака на крупные серверы. DoS атака производится путем создания 63 новых потоков, которые отправляют GET запросы через прямое соединение на порт 80. Атака возможно пойдет на www.sco.com.

5.

Создает ключи

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Explorer\ComDlg32\Version

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Explorer\ComDlg32\Version

6.

Ищет на жестком диске зараженного E-Mail адреса в файлах с расширениями

* .htm
* .sht
* .php
* .asp
* .dbx
* .tbb
* .adb
* .pl
* .wab
* .txt

7.

Пробует отправить эл. почту, в приложении заоодно и себя. С начала он пробует использоват SMTP сервер, которым user пользовался раньше. Если не получилось, он использует SMTP, встроенный в него.

Эл. письма могут иметь следующие характеристики:

Обратный адрес точно будет подменен

Subject будет одним из следующих:

test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error

Body может быть одним из следующих:

Mail transaction failed. Partial message is available.
The message contains Unicode characters and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
test

Имена приложений без расширений:

document
readme
doc
text
file
data
test
message
body

Расширения приложений (atachment):

.pif
.scr
.exe
.cmd
.bat
.zip

8.

Копирует себя на диск с именами:

* winamp5
* icq2004-final
* activation_crack
* strip-girl-2.0bdcom_patches
* rootkitXP
* office_crack
* nuke2004

С расширением:
* .pif
* .scr
* .bat
* .exe

Инструкции по удалению

Нортоновский Fix

Перед употреблением fix-а выключите System Restore в Windows Me/XP. Потому что, ни одна программа не может прочитать содержимое каталога restore.

Полезные советы от Cyber Life-а

1. Не открывайте приложения email даже, если они пришли от знакомых, близких друзей.

2. Выключите System Restore. Эта штука все равно не поможет, если с системой что-то случилось, а он может вернуть вирус даже, если вы от него окончательно избавились.

3. Включите опцию Read all messages in plain text в Outlook Express . Делается это так: Tools > Options > Read. Там поставить галочку на Read all messages in plain text. Это защитит вас от автозапуска приложений.

Назад к статьям>>