Недельный отчет о вирусах

Екатеринбург, 5.05.2003 - В выпуске, посвященном последней неделе апреля, мы рассмотрим макровирус Aurity, двух червей - Halfint и Nolor, а также троянца Optix.Pro.

Aurity (W97M/Aurity) – это макровирус, принадлежащий к семейству W97M и заражающий документы Microsoft Word 97, а также используемые ими шаблоны. Сначала вирус заражает открытый документ и шаблон NORMAL.DOT, и, поскольку теперь сам шаблон является зараженным, все использующие его документы также будут заражены.

Aurity выполняет следующие действия:

· Отключает антивирусную защиту макросов Word. Это означает, что при открытии документа Word не запрашивает подтверждение включения макросов, содержащихся в таком документе. · Заражает документы Word (файлы с расширением DOC). · Заражает общий шаблон Word, что влечет за собой заражение всех документов, использующих его.

Halfint (W32/Halfint) – это червь, не наносящий каких-либо деструктивных действий и распространяющийся посредством программы для обмена файлами KaZaA. При активации червь создает 36 своих копий в общей папке KaZaA. Все имена зараженных файлов связаны с компьютерными программами и играми, например, Age of Empires 2 - Crack.exe, Playstation 2 Emulator Downloader.exe или Windows Key Generator (all versions).exe. Это помогает червю обманывать пользователей и проникать на компьютеры своих очередных жертв.

Nolor (W32/Nolor) – это червь, распространяющийся по электронной почте. После заражения компьютера он рассылает свои копии с помощью собственного SMTP механизма по всем адресам, хранящимся в адресной книге компьютера. Сообщение, содержащее Nolor, очень сильно меняется, но всегда оно связано с фотографиями Бин Ладена, поздравительными открытками или паролями для каких-либо программ.

Тем не менее, Nolor достаточно легко опознать, так как сообщение всегда содержит один из следующих вложенных файлов: LOVE_LORN.KIS.OK.EXE, LOVELORN.KIS.OK.EXE, THUYQUYEN.KIS.OK.EXE, LOVE_LORN.HTM, LOVELORN.HTM или THUYQUYEN.HTM.

Опасный троянец Optix.Pro (Bck/Optix.Pro.13) характеризуется тем, что он открывает коммуникационный порт 3410 и тем самым позволяет атакующему получить удаленный доступ к ресурсам пораженного компьютера. Кроме того, он устанавливает и запускает еще одного троянца (обнаруживаемого антивирусами Panda как Bck/Sub7.22), который отключает антивирусные программы и прерывает процессы, связанные с межсетевыми экранами.

Optix.Pro не использует какого-либо особого метода распространения. Он делает это с использованием обычных средств, таких как дискеты, компакт диски, электронная почта с - инфицированными вложениями, файлы из сети Internet, FTP и т.д.

Более подробную информацию об этих и других вирусах Вы найдете на сайте Вирусной Энциклопедии Panda Software по адресу: http://www.pandasoftware.com/virus_info/encyclopedia/.

О Вирусной лаборатории Panda Software

Получив подозрительный файл, технический персонал Panda Software немедленно приступает к работе. Полученный файл анализируется, и, в зависимости от его типа, предпринимаются следующие действия: дизассемблирование, проверка макросов, анализ кода и т.д. Если проанализированный таким образом файл действительно содержит новый вирус, немедленно подготавливаются необходимые средства для обнаружения и обезвреживания вредоносного кода, которые быстро распространяются среди пользователей.

Опубликовано: 5 мая 2003 г.

Ключевые слова: нет

Извините, комментариев пока нет