Kaldata.com Вирусен Бюлетин

–––––––––––[size=12][27 Декември 2004][/size]–––––––––––––-
В днешния вирусен бюлетин ще разгледаме три червея – [color=red]Santy.A[/color], който бързо започна да се разпространява в началото на седмицата, [color=red]Mugly.C[/color] и [color=red]Gaobot.CDO[/color]. Вируса [color=red]Constructor/Mastof[/color], и троянеца [color=red]Mastof.A[/color].

Santy.A е червей, който използва viewtopic.php уязвимостта, за да се разпространява по интернет. Той атакува сървъри, които имат версии на phpBB, по-ранни от 2.0.11.

След като зарази компютъра, Santy.A предприема следните действия, наред с други:
– Използва Google, за да намира уязвими компютри.
– Презаписва файлове с разширения ASP, HTM, PHP, PHTM и SHTM, и ги заменя с HTML файл, който изписва съобщение.
– Забавя работата на заразения сървър и връзката му с интернет.

Следващият червей, на когото ще се спрем днес е Mugly.C, който се разпространява чрез разнообразни e-mail съобщения, с прикачен файл с име ATTACHED.ZIP. Този файл съдържа изпълнимо приложение, което всъщност е самият червей.

Mugly.C претърсва файлове със следните разширения на заразената машина: ADB, ASP, DBX, DOC, HTM, HTML, PHP, SHT, TBB, TXT или WAB, търсейки адреса, до които да се разпрати, освен ако в името на адреса не открие информация, отнасяща се до антивирусни компании. Червеят също така забранява на потребителя да отвори уеб страниците на определени произодители на антивирусен софтуер.

След като е пуснат в действие, Mugly.C показва изображение на екрана, и инсталира и задейства друг червей, който според Panda Software е Gaobot.CDO.worm.

Gaobot.CDO се насочва към компютри с ОС Windows 2003/XP/2000/NT, като използва пролуките в услугите LSASS, RPC DCOM и WebDAV. За да се разпространява, той се самокопира в споделените папки, до които успее да получи достъп. Освен това Gaobot.CDO осъществява връзка с IRC сървър, откъдето очаква команди.

Следващите зловредни кодове, на коите ще се спрем днес са Constructor/Mastof и Mastof.A, които са много близко свързани, като вторият е троянец, създаден от първия да краде паролите на Yahoo!Messenger акаунти.

Mastof.A и троянците генерирани от Constructor/Mastof, съдържат следните функции: те се стартират всеки път когато Windows се зареди, след това остават резидентни в паметта, оттам те изпращат на определен адрес паролите, които успеят да прихванат за чат програмата Yahoo!Messenger.

Със съдействието на: SECURITY FORUMS