Архив

Xanax — новый интернет-червь, распространяющийся по электронной почте

Интернет червь I-Worm.Xanax был обнаружен в середине марта 2001. Червь распространяется в электронных письмах и при активизации рассылает себя с зараженных компьютеров. При своем распространении червь использует почтовую систему Microsoft Outlook и рассылает себя по всем адресам, которые хранятся в адресной книге Outlook.

Червь также рассылает себя в IRC-каналы и заражает EXE-файлы в каталоге Windows.

Червь написан на языке C++ и откомпилирован Microsoft Visual C++. Размер червя около 60K, однако он был обнаружен в упакованном виде (сжат утилитой
ASPack) с размер зараженного файла около 34K.

При старте червь копирует себя в системный каталог Windows с именами XANAX.EXE и XANSTART.EXE. Файл XANSTART.EXE регистрируется в ключе авто-запуска системного реестра. В результате червь стартует при каждом запуске Windows.

Для рассылки зараженных писем червь создает дополнительный VBS-файл и записывает в него скрипт-программу, которая получает доступ к MS Outlook, открывает адресную книгу, достает оттуда по 1000 адресов из каждого списка адресов и рассылает по ним письма с прикрепленной к ним копией червя. Тема, содержимое письма и имя прикрепленного файла выглядят следующим образом:

Тема сообщения: Stressed? Try Xanax!
Тело сообщения:

Hi there! Are you so stressed that it makes you ill? You’re not alone!
Many people suffer from stress, these days. Maybe you find Prozac too
strong? Then you NEED to try Xanax, it’s milder. Still not convinced?
Check out the medical details in the attached file. Xanax might change
your life!

Вложение: xanax.exe

Червь заражает все EXE-файлы в каталоге Windows, кроме файлов, имена которых начинаются с букв: E, P, R, S, T или W. При заражении червь «сдвигает» тело файла-жертвы вниз, а сам записывается в начало файла.

Червь ищет на дисках установленного клиента mIRC. Если mIRC-клиент найден, червь создает в том же каталоге файл SCRIPT.INI, который содержит mIRC-команды, посылающие файл червя (файл XANAX.EXE) всем пользователям, подключающимся к зараженному каналу.

При запуске из файла, в имени которого предпоследняя буква — ‘R’ (xxxRx.EXE), червь выводит сообщение:

Xanax
  8-Chloro-1-methyl-6-phenyl-4H-s-triazolo (4,3-alpha)(1,4) benzodiazepine

Поскольку имя файла XANSTART.EXE именно такое, и этот файл зарегистрирован в системном реестре на авто-запуск, то это сообщение будет появляться при каждом старте Windows.

Технические детали

Xanax — новый интернет-червь, распространяющийся по электронной почте

Ваш e-mail не будет опубликован.

 

Отчеты

Таргетированная атака на промышленные предприятия и государственные учреждения

Эксперты Kaspersky ICS CERT выявили волну атак на предприятия и государственные учреждения нескольких стран Восточной Европы и Афганистана. В ходе исследования выявлено вредоносное ПО, ранее использованное в атаках, которые другие исследователи отнесли к APT TA428.

ToddyCat: неизвестная APT-группа, нацеленная на организации Европы и Азии

ToddyCat является относительно новой APT-группой, ответственной за серии атак на высокостатусные организации Европы и Азии. Два ключевых отличительных признака этой группы — ранее неизвестные инструменты, которые мы назвали «бэкдор Samurai» и «троянец Ninja».

Lazarus распространяет протрояненный DeFi-кошелек

Недавно мы обнаружили протрояненное DeFi-приложение, которое имплантирует в систему полнофункциональный бэкдор. Проанализировав этот бэкдора, мы обнаружили многочисленные совпадения с другими инструментами группы Lazarus.

MoonBounce: скрытая угроза в UEFI

В конце 2021 года мы обнаружили прошивку UEFI, в которую был внедрен вредоносный код, названный нами MoonBounce. В данном отчете мы подробно опишем принцип действия импланта MoonBounce и его связь с APT41.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике