Червь «Netsky.D» пипикает в динамик

Вебпланета

≡ Архив | архивная статья | 02.03.2004 14:05

В начале марта в интернете начал распространяться еще один почтовый червь «Netsky.D». Он рассылает по электронной почте в виде файлов с расширением .PIF (на самом деле это замаскированные .EXE) размером около 17 КБ.

Зараженные письма имеют разнообразные темы сообщения:
Re: Thanks!
Re: Your document
Re: Here is the document
Re: Hi
Re: Hello

И так далее (всего 25 различных тем). Текст сообщения (одна фраза, 6 вариантов) и название pif-файла (21 вариант) также выбираются произвольным образом.

Если запустить присоединенный файл, то Netsky.D копирует себя с именем WINLOGON.EXE в каталог Windows и регистрирует этот файл в ключе авто-запуска системного реестра. Для дальнейшей рассылки червь сканирует файлы наиболее распространенных интернет-приложений (например, WAB, EML, DOC, HTML, MSG и др.), считывает из них адреса электронной почты и незаметно для владельца компьютера отсылает на них свои копии.

Рассылка писем осуществляется в обход установленного на компьютере почтового клиента, с использованием встроенной SMTP-подпрограммы. С ее помощью «Netsky.D» распространяется через 23 прокси-сервера, расположенных в разных частях интернета. Их IP перечислены в «Вирусной энциклопедии Касперского».

Червь имеет ряд побочных действий. В частности, он удаляет из системного реестра ключи червя-конкурента «Mydoom», а также пытается нарушить работу «Антивируса Касперского», удалив из системного реестра Windows ключ «KasperskyAv». Кроме того, утром 2 марта он попытался активировать PC-спикеры на всех зараженных машинах.

Антивирусные компании по-разному оценили опасность червя: как высокую (F-Secure, Kaspersky, Trend, Sophos), среднюю (Network Associates) и низкую (Symantec).

комментарии(0)

разделы: Архив