Все новости от 31 января 2005 г.

Червь I-Worm.Bagle.ay вызвал в Интернете глобальную эпидемию

“Лаборатория Касперского” сообщила об обнаружении новой опасной модификации известного сетевого червя I-Worm.Bagle — I-Worm.Bagle.ay. В настоящее время антивирусные эксперты “Лаборатории” фиксируют массовое распространение данной вредоносной программы, что вынуждает их заявить о новой вирусной эпидемии в Интернете.

Bagle.ay распространяется через электронную почту в виде вложений в электронные письма. Червь представляет собой исполняемый в среде Windows файл размером 19 Кб, приложенный к письму с одним из предустановленных заголовков: Delivery service mail, Delivery by mail, Registration is accepted, Is delivered mail или You are made active. При этом текст письма также имеет два варианта исполнения: Thanks for use of our software или Before use read the help. Наименование приложенного файла выглядит как wsd01, viupd02, siupd02, guupd02, zupd02, upd02 или Jol03.

Активизация червя производится по инициативе пользователя, открывшего приложение к письму и тем самым запустившего зараженный файл. После запуска червь копирует себя в системный каталог Windows и регистрируется в ключе автозапуска системного реестра. При этом вредоносная программа прерывает процессы, осуществляющие персональную защиту ПК, оставляя атакованный компьютер незащищенным.

Для размножения Bagle.ay использует процедуру, стандартную для данного вида вредоносных программ, но имеющую ряд особенностей. Он сканирует файловую систему пораженного компьютера и рассылает себя по всем найденным адресам электронной почты, за исключением адресов, принадлежащих крупным разработчикам антивирусного и прочих видов программного обеспечения. Этим объясняется малое количество образцов червя, получаемое антивирусными компаниями. Для отправления зараженных писем червь использует прямое взаимодействие с SMTP-сервером.

Помимо этого, для увеличения интенсивности распространения Bagle.ay осуществляет поиск каталогов, содержащих строку “shar”. Если такие каталоги найдены, то в них червь выкладывает свое тело в файлы с названиями, схожими с наименованиями популярных приложений и утилит. Таким образом, количество каналов распространения вредоносного кода увеличивается за счет использования разделяемых ресурсов и P2P-сетей. Более подробную информацию о данной вредоносной программе можно найти в “Вирусной энциклопедии Касперского”.

В. М.