Tylko teraz Kaspersky Total Security w cenie Kaspersky Internet Security!  Sprawdź ofertę »

X

UWAGA! I-Worm.Zafi.c

Jest to robak rozprzestrzeniający się przez Internet jako załącznik zainfekowanych wiadomości e-mail, w sieciach lokalnych oraz za pośrednictwem sieci P2P. Powstał przy użyciu języka programowania Assembler, a jego rozmiar to 15 993 bajty (kompresja FSG).

Instalacja

Po uruchomieniu robak kopiuje się do foldera \Windows\System z nazwami svchost.com oraz svchost.con, a także do foldera głównego dysku C: z nazwą tm.txt.

Następnie szkodnik tworzy w folderze \Windows\System pliki svchost.co0, svchost.co1, svchost.co2, ..., svchost.co9 i zapisuje w nich znalezione w systemie adresy e-mail.

Zafi.c tworzy w rejestrze systemowym klucz auto-run:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"_svchost.con"="%Windows%\%System%\svchost.com"

oraz klucz, w którym przechowywane są jego dane wymagane do uruchamiania:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\UpdateZ3]

W celu omijania zapór ogniowych szkodnik tworzy klucze:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy\StandardProfile]
DisableNotifications=1
EnableFirewall=0
DoNotAllowExceptions=0

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
AntiVirusDisableNotify=1

Dodatkowo, w celu oznaczenia zainfekowanego komputera, robak tworzy w systemie unikatowy identyfikator o nazwie UpdateZ3.

Szkodnik procesy, których nazwy zawierają następujące teksty:

msconfig
reged
task

Robak nadpisuje własnym kodem pliki programów antywiruswych.

Rozprzestrzenianie - wiadomości e-mail

Adresy potecjalnych ofiar wyszukiwane są w plikach zawierających następujące teksty:

adb
asp
attachment
dbx
document
eml
htm
letter
mail
mbx
message
php
pmr
sht
tbb
title
txt
wab
word

Szkodnik nie wysyła własnych kopii pod adresy zawierające teksty:

aol
cafee
google
help
hoo.com
hotmail.co
info
kasper
micro
msn
panda
sopho
suppor
syma
trend
vir
webm

Zawartość zainfekowanych wiadomości e-mail zależna jest od domeny adresata.

Treść wiadomości konstruowana jest losowo na podstawie poniższych elementów:

  • Temat (jeden z poniższych tekstów poprzedzony przedrostkiem Re:):
    ajanlat!
    allast kinal!
    As myliu tave!!
    As pakvaises del tavo emailu!
    Call me!
    call us back!
    Can you!
    Chci Ti rict, ze jsi ma laska, miluji Te cim dal vic!
    CNM, Technology Company!
    David Morgen, Office Manager!
    Desde el primer momento!
    Doar ca sa te iubesc!
    Een kus voor jou!
    En kyss!
    Expectant CoWorker!
    free mp3 list!
    full time job for you!
    Fur dich!
    give a little hope!
    Hey buddy!
    I thought maybe we can...!
    I`m off!
    ich gerade an dich dachte!
    Ich liebe dich!
    Ik ben echt niet vergeten!!
    Ik hou van jou!
    Ik hou zooooo veel van je!
    Jag alskar dig!!
    Je t`aime!
    Jeg elsker deg!!
    Jeg elsker dig!
    job details!
    kerem olvassa el!
    Kocham Cic!
    Kusschen!
    L'amour!
    Media Services Kft!
    Merci!
    Miluji te!
    Mina Rakastan Sinua!
    Miss you baby!!
    Mit bjerte er dit til evig tid!
    Network monitoring!
    Odnalezc chce Cie w tlumie!
    offer!
    Ogni grande amore comincia con un fiore!!
    okay!
    please hurry!
    Please read the full story!
    please read!
    Please, send forward this letter!
    Please,thanks!!
    Quando sto con te, il mio cuore!!!
    Rakastan sinua vahemman tanaan kuin huomenna!
    rendszerfigyelo pozicio betoltese!
    send forward!
    send me one more!
    Si stii de ce ?!
    Te amo!
    Te iubesc!
    Thank you!
    Ti amo!!
    Tisztelt Leendo Munkatars!
    tu ma faci sa iubesc!
    very sick little girl!
    waiting for you!
    Whats you doing tomorrow?!
    Your lover!
    Zo verlang ik naar jou!
    
  • Treść (wybierana spośród poniższych możliwości):
    Min kjoerlighet til deg vokser mot himmelske hoyder!
    
    Roser er sode fioler er bla, Druer er sote og du er like sa.
    Jeg elsker deg!
    
    Ich wunsche dir einen schonen feierabend!
    Ich liebe dich!
    
    Ich hab dich so lieb!
    
    Fur dich, weil ich gerade an dich dachte! Kusschen!
    
    Tisztelt Leendo Munkatárs!
    
    Önnek állast kinál a CNM, Média Services Kft,
    informatikai rendszerfigyelo pozició betöltésére.
    Cégünk Magyarország egyik jelentos informatikai vállalata,
    melyhez informatikában jártas embereket keresünk.
    Alapkövetelmények: Windows XP, 2000, valamint 98 hálózati
    ismeretek, valamint alapfoku angol tudás. Amenyiben elfogadja
    ajánlatunkat, kérem olvassa el a részleteket és jelezzen
    vissza a mielobbi együttmüködés céljáért.
    
    Tisztelettel: Takács László, irodavezeto.
    Email: 
    
    La vie n'est qu 'un passage...
    L'amour qu 'un mirage...
    Mais I'amitie est un fil d'oc
    Qui ne se brise jamais.
    Merci d'etre la
    
    Je t`aime
    
    Tu es la pour moi.
    Je te sens pres de moi.
    Notre amitie
    m'est precieuse.
    Je t'aime beaucoup!
    
    Dicono sia la primavera, invece sei tu che mi fai girar la testa.
    
    Ogni grande amore comincia con un fiore!
    
    Quando sto con te, il mio cuore!!
    
    Desde el primer momento en que te vi
    y hace tiempo te buscaba
    y ya te imaginaba asi
    Te amo ...
    
    Aunque no es tan facil de decir
    y defino lo que siento con estas palabras:
    Te amo ...
    
    En kyss ar ingen fara,
    En kyss ar inget brott
    Tva lappar mots ju bara
    men herre gud sa gott.
    
    Jag alskar alskar alskar dig
    fran det kan ingen hindra mig
    och vad som an hander
    i morgon och idag
    sa kan ingen alska dig mer an jag
    och vad som an hander
    med varlden och med mig
    sa kommer jag aldrig nagonsin
    att glomma dig...
    
    Oppe pa himlen
    langt vaek i det fjerne
    sidder den smukkeste
    lille stjerne
    
    Den er sendt
    fra mit hjerte
    ned til dig
    og hvisker stille
    godnat fra mig.
    
    Mit bjerte er dit til evig tid.
    
    Etsin sita oikeaa miljoonien joukosta, 
    eika minulla ole muita vaatimuksia, 
    kuin etta se olisit sina.
    
    Rakastan sinua vahemman tanaan kuin huomenna, 
    mutta enemman kuin eilen.
    
    Mano meile tau auga su lig kiekviena diena.
    
    Tu esi mano virtualaus bucinio savininkas.
    
    As pakvaises del tavo emailu...
    As myliu tave!
    
    Odnalezc chce Cie w tlumie,
    ujrzec wsrod tysigca twe cudne oczy
    koloru morskiej wody
    a potem porwac na swoj statek zwany mitoscia
    by po chwili jak lisc na wietrze
    wolno opadac we dwoje na spokojne wody
    naszej przyszlosci.
    Kocham Cic!
    
    Niech bcdzie wyrazem
    mej czystej mitosci,
    wiatru kotysaniem
    i cichym wyznaniem...
    Kocham Cic!
    
    Tu ma faci sa rad, tu ma faci sa plang, 
    tu ma faci sa simt ca traiesc, tu ma faci sa iubesc!
    
    Iubirea ta e singurul gand pentru care exist. Nu uita ca pentru
    tine traiesc. Si stii de ce ? Doar ca sa te iubesc.
    
    Jen Tobe patri srdce me a vse, co vubec mam, 
    vzdylaska je to nejcennejsi, co zivot dava nam.
    
    Chci Ti rict, ze jsi ma laska,
    miluji Te cim dal vic.
    Ty jsi to, co jsem vzdy chtela.
    Chci jen Tebe a nic vic.
    
    Jouw kus is als een omhelzing.
    Ik denk zo vaak aan je...
    Zo verlang ik naar jou!
    
    Heb ik je wel eens gezegd dat ik van je hou!
    Ik hou zooooo veel van je !!!
    
    Ik ben echt niet vergeten! Ik hou van jou !!!
    Een kus voor jou!
    
    Dear Expectant CoWorker!
    We are offering a full time job for you.
    Our company (CNM, Technology Company, )
    is the third fastest growing technology company in .
    Job Type: System and Network monitoring.
    Requirements: Windows XP, 2000, 98 minimal expertise,
    and networking skills.
    If you accept our offer, please read the job details
    document for the full description, and call us back.
    Thank you,
    David Morgen, Office Manager (CNM, Tech. )
    Email: 
    
    Please, send forward this letter, and you can give a 
    little hope to a very sick little girl, who is 
    dying in the hospital, in . 
    Please read the full story, and send forward!!
    
    Hey buddy!
    Can you send me one more of your free mp3 list? Please,thanks!
    
    Your lover is waiting for you tomorrow, so please hurry,hurry because..
    
    Miss you baby!
    Whats you doing tomorrow? I`m off, so... I thought maybe we can...
    Call me okay, before it`s too late...
    

  • Nazwa załącznika (wybierana z poniższych możliwości):
    Eminem free MP3 websites 2004
    listed okt16
    Rap CD list
    

    Załącznik może posiadać rozszerzenie EXE lub SCR.

Rozprzestrzenianie - sieci lokalne oraz sieci P2P

Szkodnik umieszcza własne kopie (doom3 keygen.exe) w folderach, których nazwy zawierają poniższe teksty:

downlo
share
upload

Funkcje dodatkowe

Robak przeprowadza ataki DoS na następujące serwery WWW:

google.com
microsoft.com
www.miniszterelnok.hu


 2004-10-27  

© 1997 - 2016 Kaspersky Lab

Wszelkie prawa zastrzeżone.
Lider na rynku rozwišązań antywirusowych