Вирусите през март

Категория: Интернет

неделя, 10 Февруари 2002 0:00ч

W32/Fbound.C е 12 288-байтов червей, написан на Assembler, който се разпространява бързо чрез самоизпращане до адресната книга на атакувания компютър. Най-забележимата характеристика на този вирус е способността му да се разпространява чрез e-mail, без дори да се е копирал на твърдия диск на инфектирания компютър, тъй като той установява директна връзка с e-mail сървъра, конфигуриран в компютъра. Този червей използва API функция в Wsock32.DLL library, за да комуникира с потребителския e-mail сървър. Освен това той няма нужда да се копира на твърдия диск, за да се самоизпраща, тъй като използва memory-mapped files technology. Това може да е причината червеят да не се разпространява правилно в някои от случаите.
Червеят се самоизпраща до всички контакти от адресната книга на MS-Outlook Express (WAB файл). Изпратеното съобщение има следните характеристики:
Subject: Important (ако червеят определи, че получателят на съобщението има японски e-mail адрес, тоест последните три знака от e-mail адреса са .jp, subject на съобщението ще съдържа японски текст, избран случайно от 17 възможни комбинации. За да създаде случайния японски subject, червеят си служи с малко познатата rdtsc Pentium команда).
Тяло на съобщението: Няма
Прикрепен файл: PATCH.EXE
Червеят няма да се самоизпрати, ако MS-Outlook Express не е инсталиран на засегнатия компютър или ако адресната книга (WAB файл) е празна.
За да си подсигури самоизпращане, W32/Fbound.C се сдобива със следната информация за ключовете в Windows Registry:
Местонахождение на адресната книга -> от ключ HKCUSoftwareMicrosoft
WABWAB4Wab File Name
Потребителски акаунт -> от ключове HKCUSoftwareMicrosoftInternet Account ManagerDefault Mail Account и HKCUSoftwareMicrosoftInternet Account ManagerAccountsSMTP Email Address
SMTP сървър, за да се свърже -> от ключ HKCUSoftwareMicrosoftInternet Account ManagerAccountsSMTP Server.
Червеят не създава нито един файл на атакуваните компютри. Той се самоизпраща, свързвайки се директно към mail сървър. За да направи това, вирусът отваря комуникационна сесия през порт 25, вместо да използва функциите на Oultlook.