Поделиться
Новый червь подделывает адрес отправителя
Специалисты в области информационной безопасности сообщают об обнаружении новой модификации известного сетевого червя Bagle - Bagle.B. Новый червь начал быстро распространяться по всему миру: на данный момент антивирусными компаниями поступило несколько сотен сообщений от пользователей по всему миру, получивших зараженную данным червем корреспонденцию.Новая версия червя Bagle функционально во многом повторяет свою предшественницу. Вредоносная программа распространяется через электронную почту в виде вложений в электронные письма. Коварный червь способен подделывать адрес отправителя электронных сообщений, что увеличивает вероятность заражения - получатели письма будут считать, что оно пришло из надежных источников, и откроют вложенный файл, содержащий код червя.
Червь представляет собой исполняемый в среде Windows файл размером 11 КБ, приложенный к письму с заголовком "ID х... thanks" и текстом "Yours ID x: Thank", где х - произвольный набор символов. Имя вложенного файла генерируется случайным образом.
После запуска червь копирует себя в системный каталог Windows под именем au.exe и регистрирует себя в ключе автозапуска системного реестра. При этом для дезориентации пользователя червь инициирует запуск стандартной утилиты Windows, Sound Recorder (sndrec32.exe). Затем Bagle.B пытается установить соединение с несколькими удаленными сайтами, так или иначе связанными с "троянским" прокси-сервером TrojanProxy.Win32.Mitglieder. В настоящее время ссылки на все сетевые источники загрузки Mitglieder удалены, и Bagle не способен использовать данную технологию для увеличения темпов самораспространения.
Однако наибольшую опасность для зараженного компьютера представляет встроенная в тело червя троянская компонента. Она открывает на пораженной машине порт 8866, и в дальнейшем отслеживает его работу. Это дает злоумышленникам доступ к удаленному управлению компьютером, в частности, позволяет запускать на выполнение различные команды и загружать файлы по усмотрению автора червя.
Для размножения Bagle.B, как и его предшественник, использует процедуру, стандартную для данного вида вредоносных программ. Он сканирует файловую систему пораженного компьютера в поисках файлов с расширениями .wab, .txt, .htm, .html и .r1 и рассылает себя по всем найденных в них адресах электронной почты. Для отправки почты червь использует собственный SMTP-сервер.
Активность данной вредоносной программы ограничена во времени: червь запрограммирован на прекращение саморазмножения после 25 февраля 2004 года, что, по мнению экспертов, может свидетельствовать о подготовке новой версии Bagle, которая появится в интернете по истечении указанной даты.
Источник: собственная информация CNews.ru c использованием материалов Panda Software и "Лаборатории Касперского".
Короткая ссылка
