|
|
|
VIRUS: Črv Zafi.B in elektronske voščilnice
|
|
Finsko podjetje F-Secure Corporation obvešča uporabnike interneta, da se je ta vikend pričel hitro širiti črv Zafi.B. Okužena sporočila, ki jih pošilja, so napisana v različnih jezikih. Črv se je pojavil 11. junija 2004. Za razliko od različice .A, ki se je pošiljala v sporočilih z madžarskim besedilom, se različica .B pošilja v sporočilih o elektronskih voščilnicah v angleškem, italijanskem, španskem, ruskem, švedskem in drugih jezikih. Črv je v ponedeljek zjutraj postal najbolj pogost črv v večini evropskih držav, tudi v Sloveniji. Zaradi velikih količin okuženih sporočil občasno
prihaja do zamika pri dostavi elektronske pošte.
Podroben opis
Zafi.B je stisnjen s programom FSG! in dolžine 12800 znakov. Razpakirana verzija je dolga okoli 30 KB in napisana v assemblerju.
Okužba
Zafi.B se ob zagonu skopira v Windows sistemski imenik v datoteki z naključnimi imeni in podaljški .DLL in .EXE. EXE datoteko doda v register pod:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"_Hazafibb" = "%SysDir%\.exe"
V sistemskem imeniku kreira še več datotek z naključnimi imeni in podaljškom .DLL. V teh datotekah shranjuje interne podatke.
Zafi.B pregleda vse imenike in če v imenu vsebujejo 'share' ali 'upload', se skopira vanje pod imeni 'winamp 7.0 full_install.exe' ali 'Total Commander 7.0 full_install.exe'.
Širjenje po elektronski pošti
Zafi.B pregleda datoteke z različnimi podaljški in v njih poišče e-poštne naslove:
htm
wab
txt
dbx
tbb
asp
php
sht
adb
mbx
eml
pmr
Zatem se z uporabo vgrajenega SMTP programa razpošlje v sporočilih napisanih v različnih jezikih (za domene .hu .sp .ru .dk .ro .se .no .fi .lt .pl .pt .de .nl .cz .fr .it .mx .at ima ustrezna sporočila, ostalim pošlje eno od treh angleških verzij besedila):
Pošiljatelj: Anita
Zadeva: Ingyen SMS!
Pripona: "regiszt.php?3124freesms.index777.pif"
------------------------ hirdetés -----------------------------
A sikeres 777sms.hu és az axelero.hu támogatásával újra
indul az ingyenes sms küld? szolgáltatás! Jelenleg ugyan
korlátozott számban, napi 20 ingyen smst lehet felhasználni.
Küldj te is SMST! Nehány kattintás és a mellékelt regisztrációs
lap kitöltése után azonnal igénybevehet?! B?vebb információt
a www.777sms.hu oldalon találsz, de siess, mert az els? ezer
felhasználó között értékes nyereményeket sorsolunk ki!
------------------------ axelero.hu ---------------------------
Pošiljatelj: Claudia
Zadeva: Importante!
Pripona: "link.informacion.phpV23.text.message.pif"
Informacion importante que debes conocer, -
Pošiljatelj: Katya
Zadeva: Katya
Pripona: "view.link.index.image.phpV23.sexHdg21.pif"
ADAOIU
OEIE
Pošiljatelj: .
Zadeva: E-Kort!
Pripona: "link.ekort.index.phpV7ab4.kort.pif"
Mit hjerte banker for dig!
Pošiljatelj: Marica
Zadeva: Ecard!
Pripona: "link.showcard.index.phpAv23.ritm.pif"
De cand te-am cunoscut inima mea are un nou ritm!
Pošiljatelj: Anna
Zadeva: E-vykort!
Pripona: "link.vykort.showcard.index.phpBn23.pif"
Till min Alskade...
Pošiljatelj: Erica
Zadeva: E-Postkort!
Pripona: "link.postkort.showcard.index.phpAe67.pif"
Vakre roser jeg sammenligner med deg...
Pošiljatelj: Katarina
Zadeva: E-postikorti!
Pripona: "link.postikorti.showcard.index.phpGz42.pif"
Iloista kesaa!
Pošiljatelj: Magdolina
Zadeva: Atviruka!
Pripona: "link.atviruka.showcard.index.phpGz42.pif"
Linksmo gimtadieno!
Pošiljatelj: Beate
Zadeva: E-Kartki!
Pripona: "link.kartki.showcard.index.phpVg42.pif"
W Dniu imienin...
Pošiljatelj: @
Zadeva: Cartoe Virtuais!
Pripona: "link.cartoe.viewcard.index.phpYj39.pif"
Te amo...
Pošiljatelj: Alice
Zadeva: Flashcard fuer Dich!
Pripona: "link.flashcard.de.viewcard34.php.2672aB.pif"
Hallo!
hat dir eine elektronische Flashcard geschickt.
Um die Flashcard ansehen zu koennen, benutze in deinem Browser
einfach den nun folgenden link:
http://flashcard.de/interaktiv/viewcards/view.php3?card=267BSwr34
Viel Spass beim Lesen wuenscht Ihnen ihr...
Pošiljatelj:
Zadeva: Er staat een eCard voor u klaar!
Pripona: "postkaarten.nl.link.viewcard.index.phpG4a62.pif"
Hallo!
heeft u een eCard gestuurd via de website nederlandse
taal in het basisonderwijs...
U kunt de kaart ophalen door de volgende url aan te klikken of te
kopiren in uw browser link:
http://postkaarten.nl/viewcard.show53.index=04abD1
Met vriendelijke groet,
De redactie taalsite primair onderwijs...
Pošiljatelj: Hanka
Zadeva: Elektronicka pohlednice!
Pripona: "link.seznam.cz.pohlednice.index.php2Avf3.pif"
Ahoj!
Elektronick pohlednice ze serveru http://www.seznam.cz
Pošiljatelj: Claudine
Zadeva: E-carte!
Pripona: "link.zdnet.fr.ecarte.index.php34b31.pif"
vous a envoye une E-carte partir du site zdnet.fr
Vous la trouverez, l'adresse suivante link:
http://zdnet.fr/showcard.index.php34bs42
www.zdnet.fr, plus de 3500 cartes virtuelles, vos pages web
en 5 minutes, du dialogue en direct...
Pošiljatelj: Francesca
Zadeva: Ti e stata inviata una Cartolina Virtuale!
Pripona: "link.cartoline.it.viewcard.index.4g345a.pif"
Ciao!
ha visitato il nostro sito, cartolina.it e ha creato una
cartolina virtuale per te! Per vederla devi fare click
sul link sottostante: http://cartolina.it/asp.viewcard=index4g345a
Attenzione, la cartolina sara visibile sui nostri server per
2 giorni e poi verra rimossa automaticamente.
Pošiljatelj: Jennifer
Zadeva: Yoàve got 1 VoiceMessage!
Pripona: "link.voicemessage.com.listen.index.php1Ab2c.pif"
Dear Customer!
Yove got 1 VoiceMessage from voicemessage.com website!
You can listen your Virtual VoiceMessage at the following link:
http://virt.voicemessage.com/index.listen.php2=35affv
or by clicking the attached link.
Send VoiceMessage! Try our new virtual VoiceMessage Empire!
Best regards: SNAF.Team (R).
Pošiljatelj: Anita
Zadeva: Tessek mosolyogni!!!
Pripona: "meztelen csajok fociznak.flash.jpg.pif"
Ha ez a kép sem tud felviditani, akkor feladom!
Sok puszi:
Pošiljatelj: Anita
Zadeva: Soxor Csok!
Pripona: "anita.image043.jpg.pif"
Szia!
Aranyos vagy, jó volt dumcsizni veled a neten!
Remélem tetszem, és szeretném ha te is küldenél képet
magadról, addig is csók:
Pošiljatelj: Jennifer
Zadeva: Dot worry, be happy!
Pripona: "www.ecard.com.funny.picture.index.nude.php356.pif"
Hi Honey!
m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:
Pošiljatelj: David
Zadeva: Check this out kid!!!
Pripona: "jennifer the wild girl xxx07.jpg.pif"
Send me back bro, when yoll be done...(if you know what i mean...)
See ya,
Ne pošlje se na naslove, ki vsebujejo:
win
use
info
help
admi
webm
micro
msn
hotm
suppor
syma
vir
trend
panda
yaho
cafee
sopho
google
kasper
Dodatne aktivnosti
Zafi.B ustavi programe, ki vsebujejo besedi 'firewall' ali 'virus'. Njihovo vsebino prepiše s svojo kodo.
Poleg tega onemogoči sistemska orodja, naprimer Task Manager in Registry Editor.
15.06.2004 [Število ogledov: 56] |
|
|
|
|
|
|
|
|
|
|
|
|
|
OBISKOV: 2366135 |
DATUM: 3.12.2024 |
URA: 6:5:15 |
IP: 18.97.14.85 |
|
|
|
|
|
|
|