Недельный отчет о вирусах

комментировать
версия для печати

В очередной раз в отчете, посвященном событиям прошедшей недели, мы рассмотрим новые версии вредоносных кодов: пять версий Bagle и две Netsky, сообщает Panda Software Russia.

Версии Bagle O и N обладают следующими характеристиками: распространяются по электронной почте в сообщениях с изменяемыми параметрами, содержащих вложения (в версии O файл имеет такой же значок, как и «Блокнот», а в версии N значок как у True Type шрифта), оба червя могут распространяться через программы обмена файлами.

Также они заражают и увеличивают размер PE файлов (в случае с версией O увеличение составляет 44KB, а у версии N — 21KB, оба червя открывают лазейку в порту TCP 2556, завершают процессы определенных программ, включая некоторые антивирусы, межсетевые экраны и средства системного мониторинга. Кроме того, они прерывают процессы предыдущих версий червей Bagle и Netsky.

Стоит отметить, что эти вирусы функционируют только до 31 декабря 2005 года (в соответствие с системной датой).

Основные отличия данных версий Bagle: Bagle.O внутри своего кода содержит текст, составляющий изображение бабочки, хотя ее никогда и не видно, а Bagle.N является полиморфным вредоносным кодом.

Размер как сжатого и распакованного файла Bagle.O — 23558 в сжатом виде и 44189 байт в распакованном. Версия N весит — 20650 и 38570 байт соответственно.

Три другие версии Bagle, рассматриваемые в сегодняшнем отчете — это Q, R и S, первая и третья из которых заражают файлы. Bagle.Q загружает файл из интерента и запускает его на компьютере. По данным лаборатории PandaLabs последняя версия распространилась особенно широко.

Следующими рассматриваемыми нами червями являются Netsky.N и Netsky.O. Они рассылаются по электронной почте при помощи их собственных SMTP механизмов по всем адресам, обнаруженным ими в файлах с определенными расширениями. Кроме того, они создают несколько файлов, некоторые из которых в формате MIME и удаляют записи, сделанные определенными червями, в том числе Mydoom и Bagle. Также они создают мьютекс для избежания одновременного запуска нескольких копий.

Различия между версиями N и O Netsky заключаются в тексте рассылаемых ими сообщений, файлах, копируемых на зараженные компьютеры, и записях, вносимых в реестр.

Другие