|
Название
|
I-Worm.Lentin
|
|
Тип
|
Почтовый/Сетевой червь (WinEXE)
|
|
Платформа
|
Win95/98/ME/NT/2000/XP
|
Червь представляет собой Win-EXE программу, размером от 27Кб. Размножается как по электронной почте, так и по локальной сети.
При запуске червь копирует себя в папку RECYCLED со случайным именем и модифицирует реестр:
HKEY_CURRENT_USER\exefile\shell\open\command
''= %Recycled%\%Filename% "%1" %*
Данная запись автоматически запускает копию червя при каждом вызове любого EXE-файла. Эта технология была применена в I-Worm.SirCam, который получил широкое распространение.
Червь создаёт в папке WINDOWS файл, содержащий следующий текст:
<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
iNDian sNakes pResents yAha.E
iNDian hACkers,Vxers c0me & w0Rk wITh uS & fUCk tHE GFORCE-pAK shites
bY
sNAkeeYes,c0Bra
<<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
I-Worm.Lentin.g выгружает из памяти следующие процессы:
- AVP32
- LOCKDOWN2000
- AVP.EXE
- CFINET32
- CFINET
- ICMON
- SAFEWEB
- WEBSCANX
- ANTIVIR
- MCAFEE
- NORTON
- NVC95
- FP-WIN
- IOMON98
- PCCWIN98
- F-PROT95
- F-STOPW
- PVIEW95
- NAVWNT
- NAVRUNR
- NAVLU32
- NAVAPSVC
- NISUM
- SYMPROXYSVC
- RESCUE32
- NISSERV
- ATRACK
- IAMAPP
- LUCOMSERVER
- LUALL
- NMAIN
- NAVW32
- NAVAPW32
- VSSTAT
- VSHWIN32
- AVSYNMGR
- AVCONSOL
- WEBTRAP
- POP3TRAP
- PCCMAIN
- PCCIOMON
Кроме того, он не даёт запуститься "Менеджеру задач Windows".
Для рассылки червь использует внутренний механизм отправки электронной почты и список SMTP серверов, которые содержатся в его теле. Адреса для рассылки берутся из адресных баз WAB, MSN, .NET Messenger, а также из файлов *.HT. Кроме того, может рассылать себя по локальной сети. Один из потоков сканирует сеть и ищет для всех открытых ресурсов каталоги с именами:
- WINXP
- WINME
- WIN
- WINNT
- WIN95
- WIN98
- WINDOWS
Червь ищет в этих каталогах файл WIN.INI. Если файл найден, то червь копирует себя в этот каталог под именем MSTASKMON.EXE и модифицирует файл WIN.INI таким образом, чтобы копия червя запускалась при следующей перезагрузке.
При запуске из файла с расширением SCR воспроизводится видеоэффект.
Знакомство с предшественником этого червя (I-Worm.SirCam) показывает, что пользователи, зачастую, хотят сами справится с эпидемией (без антивирусных продуктов).
ВНИМАНИЕ: удаление тел червя с зараженного компьютера без модификации реестра может привести к нарушению работы системы (не будут запускаться EXE файлы). Для лечения системы используйте антивирусные продукты, предварительно настроив их на "лечение" инфицированных объектов.
|
--новости--продукты--поддержка--скачать--купить--сертификация--una-center--партнеры--контакты--
--новости--продукты--поддержка--скачать--купить--сертификация--una-center--партнеры--контакты--
