Email-Worm.Win32.Sober.u

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь представляет собой PE EXE-файл. Написан на языке Visual Basic. Упакован UPX.

Размер в упакованном виде — около 130 КБ, размер в распакованном виде — около 266 КБ.

Инсталляция

После запуска червь выдает окно, содержащее следующее сообщение:

  Packed Word Data not present

При инсталляции червь создает в корневом каталоге Windows папку ConnectionStatus\Microsoft и копирует себя в новую папку с именем services.exe:

  
  %Windir%\ConnectionStatus\Microsoft\services.exe
  

Также в данной папке червь создает файл с именем concon.www для хранения в нем найденных на зараженном компьютере адресов электронной почты:

  
  %Windir%\ConnectionStatus\Microsoft\concon.www
  

После чего червь регистрирует себя в ключах автозапуска системного реестра:

  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "WinCheck"="%WinDir%\ConnectionStatus\Microsoft\services.exe"
  
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "_WinCheck"="%WinDir%\ConnectionStatus\Microsoft\services.exe"
  

При каждой следующей загрузке Windows автоматически запустит файл червя.

Также червь создает пустые файлы в системном каталоге Windows с различными именами:

  %System%\bbvmwxxf.hml
  %System%\gdfjgthv.cvq
  %System%\langeinf.lin
  %System%\nonrunso.ber
  %System%\rubezahl.rub
  %System%\runstop.rst
  

Распространение через email

Для поиска адресов жертв червь сканирует файлы, имеющие расширения из приведенного ниже списка и рассылает себя по всем найденным в них адресам электронной почты.

  abc
  abd
  abx
  adb
  ade
  adp
  adr
  asp
  bak
  bas
  cfg
  cgi
  cls
  cms
  csv
  ctl
  dbx
  dhtm
  doc
  dsp
  dsw
  eml
  fdb
  frm
  hlp
  imb
  imh
  imh
  imm
  inbox
  ini
  jsp
  ldb
  ldif
  log
  mbx
  mda
  mdb
  mde
  mdw
  mdx
  mht
  mmf
  msg
  nab
  nch
  nfo
  nsf
  nws
  ods
  oft
  php
  phtm
  pl
  pmr
  pp
  ppt
  pst
  rtf
  shtml
  slk
  sln
  stm
  tbb
  txt
  uin
  vap
  vbs
  vcf
  wab
  wsh
  xhtml
  xls
  xml
  

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

Характеристики зараженных писем

Червь рассылает зараженные письма с вложением в виде zip-архива. Архив содержит исполняемый файл червя. Текст письма может быть на английском или немецком языках.

Тема письма:

      * Haben Sie diese EMail verschickt?
      * Registration Confirmation

Текст письма:

      *
  
        Um es vorweg zu sagen: Ich bin kurz davor eine Anzeige gegen sie zu erstatten!
        Sie spinnen ja wohl! Die E-Mmailhat meine Tochter gelesen!!!!!!
        Ich habe Ihnen diese Word-Text Datei zu meiner Entlastung zurueckgeschickt.
        Es waere von Vorteil, wenn Sie sich dazu aeussern wuerden!!
      *
  
        Thanks for your registration.
        Your data are saved in the zipped Word.doc file!
  

Имя файла-вложения:

      * registration.zip
      * Word-Text.zip
  

Архив содержит файл с именем Word-Text_packedList.exe.

Прочее

Email-Worm.Win32.Sober.u пытается найти и выгрузить из памяти процесс с именем MRT.EXE (Microsoft Windows Malicious Software Removal Tool). Завершение данного процесса делает систему более уязвимой.

Также в случае если на зараженном компьютере используется Windows XP SP2 червь ищет в приведенных ниже каталогах файл TCPIP.SYS и обновляет его с целью изменения нормальной работы протокола TCP/IP и препятствия доступа в сеть.

  %System%\dllcache
  %System%\drivers
  %Windir%\ServicePackFiles