Вот еще прислала спамогенерилка Касперского:

Лаборатория Касперского", ведущий российский разработчик систем защиты от вирусов, хакерских атак и спама сообщает об обнаружении нового опасного интернет-червя "Novarg" (также известный как "Mydoom"). Всего за несколько часов существования данная вредоносная программа успела вызвать глобальную эпидемию, поразившую порядка 300 тысяч компьютеров по всему миру. Этот инцидент является крупнейшим в этом году и имеет все шансы побить рекорды распространения в 2003 г.

Подобный взрыв активности вредоносной программы однозначно указывает на серьезную подготовку вирусописателей.
Подготовка включала в себя создание распределенной сети зараженных компьютеров. При достижении критического числа машин в эту сеть была отправлена централизованная команда рассылки "Novarg". Такая технология уже была применена ранее в почтовом черве Sobig.F.

Подробный анализ географии распространения позволяет говорить, что "Novarg" был создан в России.

_________________
Rgds,
Rider
JabberID: rider at altlinux org

Содержание зараженных писем см. ниже.

В базы Kaspersky Antivirus, Doctor Web и Norton Antivirus от 27.01.2004 уже добавлен.

C Symantec как обычно можно скачать лекарство именно от Novag(MyDoom). Там-же можно найти инструкцию по применению.

Несколько более функциональный вариант лекарства от Касперского.
(цитата отсюда)

27.01.2004
Новость с: http://www.viruslist.ru/viruslist.html?id=144488783

"I-Worm.Novarg

Вирус-червь. Также известен как Mydoom.

Распространяется через интернет в виде файлов, прикрепленных к зараженным письмам, а также по сетям файлообмена Kazaa. Червь является приложением Windows (PE EXE-файл), имеет размер 22 528 байт, упакован UPX. Размер распакованного файла около 40KB.

Червь активизируется, только если пользователь сам откроет архив и запустит зараженный файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.

Червь содержит в себе "бэкдор"-функцию, а также запрограммирован на проведение DoS-атаки на сайт www.sco.com 1 февраля 2004 года.

Часть тела вируса зашифрована.

Инсталляция
После запуска червь запускает Windows Notepad в котором демонстрирует произвольный набор символов:


При инсталляции червь копирует себя с именем "taskmon.exe" в системный каталог Windows и регистрирует этот файл в ключе автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"TaskMon" = "%System%\taskmon.exe"
Червь создает в системном каталоге Windows файл "shimgapi.dll", являющийся "бэкдор"-компонентом (прокси-сервер) и также регистрирует его в системном реестре:
[HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
"(Default)" = "%SysDir%\shimgapi.dll"
Таким образом, данная DLL запускается как дочерний процесс "Explorer.exe".
Также червь создает файл "Message" во временном каталоге системы (обычно, %windir\temp). Данный файл содержит произвольный набор символов.

Для идентификации своего присутствия в системе червь создает несколько дополнительных ключей системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version]
Для этой же цели, в процессе работы, червь создает уникальный идентификатор "SwebSipcSmtxSO".
Рассылка писем
При рассылке зараженных писем червь использует собственную SMTP-библиотеку. Червь пытается осуществить прямое подключение к почтовому серверу получателя.
Для обнаружения адресов электронной почты, по которым будет вестись рассылка зараженных писем, червь ищет на диске файлы, имеющие расширения:

asp
dbx
tbb
htm
sht
php
adb
pl
wab
txt
и собирает найденные в них адреса электронной почты. При этом червем игнорируются адреса, оканчивающиеся на ".edu".

Содержание зараженных писем



Адрес отправителя:

[произвольный]
Тема письма выбирается произвольно из списка:
test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
Тело письма выбирается произвольно из списка:
test

The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment.

The message contains Unicode characters and has been sent
as a binary attachment.

Mail transaction failed. Partial message is available.
Имя вложения может иметь либо одно слово, либо быть составленным из двух отдельных, соединенных символом "_":
document
readme
doc
text
file
data
test
message
body
Вложения могут иметь одно из расширений:
pif
scr
exe
cmd
bat
Также червь может посылать письма с бессмысленным набором символов в теме письма, тексте письма и имени вложения.
Размножение через P2P
Червь проверяет наличие установленного на машине клиента Kazaa и копирует себя в каталог файлообмена под следующими именами:
winamp5
icq2004-final
activation_crack
strip-girl-2.0bdcom_patches
rootkitXP
office_crack
nuke2004
с расширением из списка:
bat
exe
scr
pif
Прочее
"Shimgapi.dll" представляет из себя прокси-сервер. Червь открывает на зараженной машине TCP порт из диапазона от 3127 до 3198 для приема команд. Функционал "бэкдора" позволяет злоумышленнику получить полный доступ к системе. Кроме этого, "бэкдор" может загружать из интернета и запускать на исполнение произвольные файлы.
В черве заложена функция организации DoS-атаки на сайт www.sco.com. Эта функция должна быть активирована 1 февраля 2004 года и будет работать вплоть до 12 февраля 2004 года. Червь каждую миллисекунду отсылает на 80 порт атакуемого сайта запрос GET, что в условиях глобальной эпидемии может привести к полному отключению данного сайта"

P.S. надеюсь уважаемый Rider не против небольшой коррекции названия темы. Можно не отвечать.

_________________
Михаил

Только за - я не силен в вирусах под винду - у меня ее нигде нет... но вот зараженные письма откровенно достали.

_________________
Rgds,
Rider
JabberID: rider at altlinux org

DOOM - был запущен у нас и был создан в России, факт этого указывает на начальную рассылку по СПАМ БАЗЕ российский электронных адресов, причём база хоть и крупная но не совсем свежая, по крайней мере было приятно наблюдать в TRASHе письма направленные на адреса, которые уже года два как не существуют...

Да уж, мне за день свалилось около 120 подобных писем.


Это же каким балбесом надо быть, чтобы заразиться...

На мой взгляд, юзерам надо выдавать типа водительских прав, прежде чем пускать в инет. Я понимаю, когда человек дома сидит и если у него вирусы, то других это практически не касается. Но выпускать наружу... Это как заразных больных принудительно направлять на лечение прежде чем пускать в общество Другое дело, как и кто этим ("лечением") заниматься будет...

_________________
Всё что ни делается - всё к лучшему

вообще-то азам компьютерной грамотности сейчас в школе ТИПА учат. Вот к примеру мою сестру... за 2 года сменилось 3 препода-студента по информатике. В перерывах между ними (1-2 месяца) информатику вообще никто не вел . А ты говоришь...
А если верить статистике позавчера(если не наврал) висевшей на лента.ру число пользователей Интернет в России за год выросло на 25%, а в Штатах уменьшилось на 6%.
Про две беды фраза известная. Можно ее перефразировать для Интернета. Многие о кнопке F1 понятия не имеют... Хотя тут не место и не время про это. Тчк.

_________________
Михаил

О каком вообще уровне образования в школе может идти речь ???

Это же беда, национальная трагедия, а не образование (см. ссылку):
http://www.altlinux.ru/pipermail/freesc ... 01137.html

_________________
Rgds,
Rider
JabberID: rider at altlinux org

Вчера 28.01.2004 появилась новая модификация - I-Worm.Mydoom.b. Для краткости не привожу полного описания, привожу только как его узнать:

28.01.2004
http://www.viruslist.ru/viruslist.html?id=144497704

"...
Рассылка писем
Функция рассылки писем идентична примененной в варианте Mydoom.a, с небольшими изменениями.
Тело письма выбирается произвольно из списка:

The message cannot be represented in 7-bit ASCII encoding
and has been sent as a binary attachment

sendmail daemon reported: Error #804 occured during SMTP session.
Partial message has been received

The message contains Unicode characters and
has been sent asa binary attachment.

The message contains MIME-encoded graphics and
has been sent as a binary attachment

Mail transaction failed. Partial message is available.
Также червь может посылать письма с бессмысленным набором символов в теме письма, тексте письма и имени вложения.

Размножение через P2P
Червь проверяет наличие установленного на машине клиента Kazaa и копирует себя в каталог файлообмена под следующими именами:
NessusScan_pro
attackXP-1.26
winamp5
MS04-01_hotfix
zapSetup_40_148
BlackIce_Firewall_Enterpriseactivation_crack
xsharez_scanner
icq2004-final
с расширением из списка:
bat
exe
scr
pif"

_________________
Михаил

Мда... что ни час, то новый вирус... надо сделать стандартную рекомендацию - обновлять антивирус через каждые 30 минут (хотя и это может не помочь).

_________________
Rgds,
Rider
JabberID: rider at altlinux org

За неимением антивируса на почтовике Макснета, пришлось добавить фразы из инфицированных писем в стоп-лист антиспама. Результатом доволен: за сегодня отсеилось около 30 писем с этим вирусом

PS
Достали эпидемии уже...

_________________
Всё что ни делается - всё к лучшему

Кстати, как вам вот такое?

http://lists.netsys.com/pipermail/full- ... 16353.html

_________________
Всё что ни делается - всё к лучшему

Неверно, проще так (кому по мылу скинуть 500 мегабайтную коллекцию почтовых вирусов ? ):

$ l mail/virus
-rw------- 1 rider rider 577268735 Янв 30 17:59 mail/virus

$ grep "exe" -C3 .procmailrc

# virus filter
:0 B
* name=.*\.(vbs|scr|pif|bat|exe|com|lnk)
virus

:0 B
* ^begin.*\.(vbs|scr|pif|bat|exe|com|lnk)
virus

EXITCODE=0

_________________
Rgds,
Rider
JabberID: rider at altlinux org

меня терзают смутные сомнения что на можно NT-подобных системах прописаться в BIOS, хотя все-же наверное возможно и я в теории представляю как к этому можно подобраться.

В чем я еще больше сомневаюсь, так это в том, что можно из BIOS открыть какие-либо tcp-порты...

C Symantec как обычно можно скачать небольшую утилиту для лечения именно Novag(MyDoom)обоих версий. Там-же можно найти инструкцию по применению.

Несколько более функциональный вариант утилиты от Касперского.
(цитата отсюда)

_________________
Михаил

Хочется напомнить, что
---
В черве заложена функция организации DoS-атаки на сайт www.sco.com. Эта функция должна быть активирована 1 февраля 2004 года и будет работать вплоть до 12 февраля 2004 года. Червь каждую миллисекунду отсылает на 80 порт атакуемого сайта запрос GET, что в условиях глобальной эпидемии может привести к полному отключению данного сайта.
---
вот. Просьба принять к сведению.

_________________
Михаил

Можно пробраться к BIOS - практически из любой системы... особенно если есть возможность загружать что-то в kernel-space (например драйвер).

По поводу открытия из BIOS TCP портов: TCP я конечно не уверен, но вот отправить произвольный сетевой пакет точно может... в принципе для организации DoS атаки этого может быть достаточно.

Кстати, ноутбуки IBM, например, умеют обновлять BIOS через сеть (это иногда бывает нужно в большой корпоративной среде.

А современные серверные платформы - позволяют удаленно управлять процессом загрузки машины ( втом числе и менять BIOS).

Так что все реально... BIOS это не более чем программа.

Кстати, есть проект OpenBIOS (http://www.openbios.org/) где можно скачать BIOS в сорцах на Fort'е и поставить на свою машинку

А вот еще один проект, LinuxBIOS - дает возможность уложить ядро Linux вместо BIOS'а (http://www.linuxbios.org/). Это, кстати, очень популярная штука для создания кластеров.

_________________
Rgds,
Rider
JabberID: rider at altlinux org