Вирусы и черви: Email-Worm

Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по каналам электронной почты.

В процессе размножения червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте).

В первом случае код червя активизируется при открытии (запуске) заражённого вложения, во втором - при открытии ссылки на заражённый файл. В обоих случаях эффект одинаков - активизируется код червя.

Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:

- прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку
- использование сервисов MS Outlook
- использование функций Windows MAPI

Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма.

Почтовые черви:

- рассылают себя по всем адресам, обнаруженным в адресной книге
- считывает адреса из адресной базы WAB
- сканируют подходящие файлы на диске и выделяет в них строки, являющиеся адресами электронной почты
- отсылают себя по всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви отвечают на обнаруженные в ящике письма)

Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты.

Например:

Email-Worm.Win32.Pawur.a — Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь является приложением Windows (PE EXE-файл), имеет размер около 51КБ (упакован UPX, размер распакованного файла - около 70КБ).

Червь рассылает по всем найденным на зараженном компьютере адресам электронной почты созданный им zip файл в виде вложения.

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

I-Worm.Pawur.a пытается удалить на зараженном компьютере файлы, имеющие следующие расширения:

asm
asp
bat
bdsproj
bmp
c
css
doc
dot
dpr
gif
h
htm
html
inf
ini
iso
jpeg
jpg
log
mdb
mp3
msi
nfm
nrg
pas
pcx
pdf
php
ppt
rar
reg
rpt
txt
vb
vbs
wav
xls