Архив

Интернет-червь маскируется под предупреждение антивирусной компании

«Лаборатория Касперского» предупреждает пользователей об обнаружении нового Интернет-червя VBS.Hard. Служба технической поддержки компании уже получила несколько сообщений от пользователей об инцидентах, вызванных этой вредоносной программой.

VBS.Hard распространяется в электронных письмах и при активизации рассылает себя с зараженных компьютеров. При своем распространении червь использует почтовую систему Microsoft Outlook Express и рассылает себя по всем адресам, которые хранятся в адресной книге Windows. В результате пораженный компьютер рассылает столько зараженных писем, сколько адресов хранится в адресной книге.

Червь написан на скрипт-языке Visual Basic Script (VBS). Запускается только в операционных системах с установленным Windows Scripting Host (WSH — в Windows98, Windows2000 он установлен по умолчанию).

Червь распространяется в электронных письмах с прикрепленным VBS-файлом «www.symantec.com.vbs», который, собственно, и является телом червя. Письмо имеет следующие характеристики:

Тема = «FW: Symantec Anti-Virus Warning»
Текст =

—— Original Message ——
From: [warning@symantec.com]
To: [supervisor@av.net]; [security@softtools.com];
[mark_fyston@storess.net]; [directorcut@ufp.com];
[pjeterov@goldenhit.org]; [kim_di_yung@freeland.ch];
[james.heart@macrosoft.com]
Subject: FW: Symantec Anti-Virus Warning


Hello,

There is a new worm on the Net.
This worm is very fast-spreading and very dangerous!

Symantec has first noticed it on April 04, 2001.

The attached file is a description of the worm and how it replicates
itself.

With regards,
F. Jones
Symantec senior developer

Будучи запущенным из письма, червь создает поддельную страницу с якобы информацией о вирусе «VBS.AmericanHistoryX_II@mm». На самом деле такого вируса не существует.

Затем червь создает несколько файлов:

Первый файл с именем «c:www.symantec_send.vbs» содержит скрипт на языке Visual Basic Script, который отсылает через MS Outlook Express зараженные письма на все адреса в адресной книге Windows.

Второй файл, «c:message.vbs», содержит скрипт, который 24 ноября выводит
сообщение:

Some shocking news
Don’t look surprised!
It is only a warning about your stupidity
Take care!

Оба этих файла червь регистрирует в системном реестре в секции авто-запуска. Таким образом, они запускаются при каждом старте Windows.

Кроме того, он прописывает в реестр и поддельную страницу о вирусе как стартовую страницу для Internet Explorer.

Чтобы избежать двойной рассылки зараженных писем с одного и того же компьютера, червь создает в системном реестре ключ «HKLMSOFTWAREMicrosoftWABOE Done» и записывает в него значение «Hardhead_SatanikChild».

Процедуры защиты от Интернет-червя «Hard» добавлены в ежедневное обновление антивирусной базы Антивируса Касперского от 13 мая.

Интернет-червь маскируется под предупреждение антивирусной компании

Ваш e-mail не будет опубликован.

 

Отчеты

Таргетированная атака на промышленные предприятия и государственные учреждения

Эксперты Kaspersky ICS CERT выявили волну атак на предприятия и государственные учреждения нескольких стран Восточной Европы и Афганистана. В ходе исследования выявлено вредоносное ПО, ранее использованное в атаках, которые другие исследователи отнесли к APT TA428.

ToddyCat: неизвестная APT-группа, нацеленная на организации Европы и Азии

ToddyCat является относительно новой APT-группой, ответственной за серии атак на высокостатусные организации Европы и Азии. Два ключевых отличительных признака этой группы — ранее неизвестные инструменты, которые мы назвали «бэкдор Samurai» и «троянец Ninja».

Lazarus распространяет протрояненный DeFi-кошелек

Недавно мы обнаружили протрояненное DeFi-приложение, которое имплантирует в систему полнофункциональный бэкдор. Проанализировав этот бэкдора, мы обнаружили многочисленные совпадения с другими инструментами группы Lazarus.

MoonBounce: скрытая угроза в UEFI

В конце 2021 года мы обнаружили прошивку UEFI, в которую был внедрен вредоносный код, названный нами MoonBounce. В данном отчете мы подробно опишем принцип действия импланта MoonBounce и его связь с APT41.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике