Worm/Zafi.E - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Zafi.E
Обнаружен:	26/09/2005
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	От низкого до среднего
Потенциал распространения:	От среднего до высокого
Потенциал повреждений:	От низкого до среднего
Файл статистики:	Да
Размер файла:	15.367 байт.
Контрольная сумма MD5:	0DA379936D9B8EE36EE77CBC3B9C74B7
Версия VDF:	6.32.0.41

Общее Методы распространения:
   • Email
   • Одноранговая сеть

Псевдонимы (аliases):
   • Kaspersky: Email-Worm.Win32.Zafi.e
   • TrendMicro: WORM_ZAFI.E
   • Bitdefender: Win32.Zafi.E@mm

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отключение приложений безопасности
   • Использует собственный почтовый движок
   • Снижает уровень настроек безопасности
   • Изменение реестра

После запуска выдается следующая информация:

Файлы Создаются собственные копии:
   • %SYSDIR%\Symantec_Update-%множестов случайных чисел от 0 до 9%.exe
   • %SYSDIR%\%множестов случайных чисел от 0 до 9%Z.dll

Выполненная копия программы удаляется.

Создаются следующие файлы:

– Файл с содержащимися в нем Email адресами:
   • %SYSDIR%\%множестов случайных чисел от 0 до 9%Z.dll

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "__ZF5"="%SYSDIR%\Symantec_Update-%множестов случайных чисел от 0 до 9%.exe"

Добавляется следующий ключ реестра:

– [HKLM\SOFTWARE\Microsoft\__ZF5]
   • "%случайная комбинация из двух букв%"=dword:00000100
   • "%случайная комбинация из двух букв%"="%Электронный адрес отправителя%"
   • "%случайная комбинация из двух букв%"="%Имена пользователей почтовых аккаунтов% "
   • "%случайная комбинация из двух букв%"="%SYSDIR%\%множестов случайных чисел от 0 до 9%Z.dll"
   • "%случайная комбинация из двух букв%"="%случайные исполняемые файлы Windows%"

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:
Язык отправленного почтового сообщения зависит от "национальности" домена высшего уровня.

От:
Адрес отправителя был фальсифицирован.

Кому:
– В определенных файлах системы были обнаружены электронные адреса.

Тема:
Одно из следующих:
   • Star Wars Greeting
   • MSN Postcard
   • Greeting from neptun.ru
   • MSN.RU Postcard
   • Una Star Wars cartolina per te da regione.it
   • Cartolina Digitale
   • Une Star Wars carte pour vous
   • Confidental
   • e-udvozlet
   • megasztar
   • e-pohlednice
   • Elektronickou Star Wars
   • e-postkarte
   • Star Wars
   • Electronisch Star Wars
   • E-kaartje
   • Has recibido una tarjeta en neptun.mx
   • e-tarjeta
   • Star Wars
   • e-kort

Тело:
– Содержит HTML код.
Тело письма имеет один из следующих видов:

   • STAR WARS

Иногда продолжается одним из следующих:

   • Hi there

     There's a star wars postcard waiting for you, from %Имена пользователей почтовых аккаунтов%.
     Just click the link below to pick up your personal message:
     %Имя прикрепленного файла без расширения%.jpg

     (If you cannot view the image by clicking on the link, copy and paste
     the attachment picture into your browser).

     Best regards: http://www.jedinet.com

   • Здравствуйте,

     Вам пришла открытка!
     Вы можете получить ее по адресу
     %Имя прикрепленного файла без расширения%.jpg

     Код для получения открытки 10025412 Открытка может быть получена любым графическим браузером в течение 1 месяца с момента получения этого сообщения.

   • Ciao

     %Имена пользователей почтовых аккаунтов% ti ha inviato una cartolina digitale dal nostro sito.
     Per visualizzare la cartolina è sufficiente cliccare questo link:
     %Имя прикрепленного файла без расширения%.jpg

     Nel caso dovessi avere problemi nel visualizzare la tua cartolina, può
     essere che i giorni a disposizione siano scaduti, è comunque possibile
     fare una prova a questo indirizzo: www.regione.it

   • Bonjour

     %Имена пользователей почтовых аккаунтов% a crée une 'star wars' carte specialement pour vous, et vous l'a envoyée le %актуальная дата%.
     La carte sera sauvgardée pendant 10 jours. Veuillez la recupérer dans les 10 jours avant qu'elle expire.
     Cliquer sur ce lien pour voir votre e-carte:
     %Имя прикрепленного файла без расширения%.jpg

     Alternativement vous pouvez lui envoyer une autre carte gratuitement sur www.smartweb.fr

   • Kedves Felhasználó

     %Имена пользователей почтовых аккаунтов% elektronikus üdvözlõlapot küldött Önnek!
     Megtekintéséhez kattintson a mellékelt kép hivatkozására, vagy másolja be
     a böngészõ (Internet Explorer, Netscape Navigator, Mozilla, stb.) címsorába!
     %Имя прикрепленного файла без расширения%.jpg

     A már kézbesített lapokat 3 hétig õrizzük meg!
     http://www.tv2.hu

   • Dobrý den

     Dostáváte tento email, protoe Vám %Имена пользователей почтовых аккаунтов%,
     poslal(a) elektronickou `star wars` pohlednici. Vae pohlednice je uloena na
     serveru centrum.cz a mùete si ji vyzvednout na adrese:
     %Имя прикрепленного файла без расширения%.jpg

     Tuto pohlednici budeme archivovat po dobu 30-ti dnù. Doufáme, e se Vám
     bude líbit. :-)

     Nejvetsi vyber plakatu na http://www.centrum.cz

   • Hallo

     %Имена пользователей почтовых аккаунтов% hat Ihnen eine Star Wars Postkarte geschickt!
     Ihre Postkarte wurde am %date% versendet und ist für 10 Tage gespeichert.
     Sie können Sie unter folgender URL ansehen:
     %Имя прикрепленного файла без расширения%.jpg

     Mit freundlichen Grüßen,

     Free eCards - Grusskarte senden - send a free eCard
     Powered by http://www.deutschepost.de

   • Hallo

     Je hebt een electronisch kaartje ontvangen van %Имена пользователей почтовых аккаунтов%
     Je kunt je persoonlijke kaartje bekijken door naar het
     volgende internet adreste gaan:
     %Имя прикрепленного файла без расширения%.jpg

     We hebben vele 100-en kaartjes in allerlei categoriën.
     Natuurlijk kan ook jij een kaartje sturen, ga naar
     http://www.fonztv.nl

   • ¡Hola

     Hay una tarjeta disponible en Neptun.mx de parte de %Имена пользователей почтовых аккаунтов%.
     Para verla, hacer click en el siguiente enlace:
     %Имя прикрепленного файла без расширения%.jpg

     Te recordamos que si eres Gusuario Premium tu tarjeta estará disponible
     en todo momento durante la vigencia de tu membresía; si no lo eres,
     estará disponible dos semanas a partir de la fecha en que la envíes.

   • Hello

     %Имена пользователей почтовых аккаунтов% har send eit kort til deg.
     Du kan henta kortet ditt på
     %Имя прикрепленного файла без расширения%.jpg

     og skriva inn kortnummer 214 og passord 5016.

Продолжается одним из следующих:

   • ImageSize: 15Kb V
     Virus & Spam Scan: V

Прикрепленный файл:
Имя прикрепленного файла образуется следующим образом:

– Начинается одним из следующих:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort
   • dscn
   • post

Завершается одним из следующих:
   • show
   • index
   • imag
   • wars
   • pict
   • lnk
   • greeting
   • postcard
   • cart
   • carte
   • udvozlolap
   • pohlednic
   • grusskarte
   • galerij
   • tarjeta
   • kort

    Заканчивается следующей строкой:
   • show%случайная комбинация из четырех букв%
   • index%случайная комбинация из четырех букв%
   • imag%случайная комбинация из четырех букв%
   • wars%случайная комбинация из четырех букв%
   • pict%случайная комбинация из четырех букв%
   • dscn%случайная комбинация из четырех букв%
   • post%случайная комбинация из четырех букв%

    Одно из следующих расширений файла:
   • .zip

Пример имён вложенных файлов:
   • lnk.cart.index1650.zip
   • galerij.show.wars3765.zip
   • pict.index.post4325.zip
   • lnk.grusskarte.pict8074.zip

Прикрепленный файл является копией вредоносной программы:

Письмо могло бы выглядеть следующим образом:

Отправка Поиск адресов:
Проверка следующих файлов на наличие в них электронных адресов:
   • .htm; .wab; .txt; .dbx; .tbb; .asp; .php; .sht; .adb; .mbx; .eml;
      .pmr; .fpt; .inb

Избегает обращение по адресу:
Не отправляются письма на адреса с одной из следующих последовательностей символов:
   • google; sale; service; info; help; admi; webm; micro; msn; hotm;
      suppor; soft.; zonela

Присоединение последовательности символов:
Для получения IP адреса почтового сервера перед доменным именем указываются следующие строки:
   • mail.; smtp.; mx.; fmx.; matav-1.; gold.; matav-2.; domser.; suli2.;
      matav-4.; gemini.; goliat2.; webmail.; postman.; huasmtp01.;
      mailin02.sul.; mail4u.; Mmx-ha01.web.; Mmx2.mail.; smtp-in.;
      Mmail.wxs.; box-05.; mail-mx-00.; smtp01.; smtp03.; pop.; Mmx.is.;
      debian-mx1.; mrelay1-2.; smtpB1.; maury.; newken.; blackhole.; Mmail.;
      mail-mx-3.; mxrm.; mbox.; pweb.; mail-kr3.; mail-kr4.; mailserver.;
      mx-a.mail.; mailin-01.mx.; mxs.; office.; cscmail.; Mrelay2.

P2P Предпринимаемые для инфицирования других систем в одноранговой сети действия:   Производится поиск содержащих одну из следующих последовательностей знаков папок
   • "share"
   • "upload"
   • "music"
   • "startup"

   При успешном завершении поиска создаются следующие файлы:
   • Adobe Acrobat 8.0.exe
   • Divx Player 7.0.exe

Завершение процесса Список завершаемых процессов:
   • nmain.exe; Luall.exe; nod32.exe; gcasDtServ.exe; nod32krn.exe;
      nod32kui.exe; AVLTMAIN.EXE; MRT.exe; gcasServ.exe; avginet.exe;
      inetupd.exe; fpavupdm.exe; Updater.exe; pcclient.exe; F-StopW.exe;
      drwebupw.exe; QH32.EXE; QHM32.EXE; LIVEUP.exe; savmain.exe;
      savprogess.exe; nod32.exe; bdmcon.exe; bdlite.exe; McUpdate.exe;
      mcmnhdlr.exe; VBInstTmp.exe; vbcmserv.exe; vbcons.exe; fspex.exe

Разное Связывается со следующим веб-сайтом для проверки установленного Интернет-соединения:
• microsoft.com

Мьютекс:
Создается мьютекс:
• __ZF5

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Andrei Gherman Mon, 26 Sep 2005 14:56 (GMT+1)
Описание обновлено: Andrei Ivanes Mon, 26 Sep 2005 17:43 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back