31 marca 2003

I-Worm.Hawawi - atakuje z kilku źródeł

Jest to robak internetowy rozprzestrzeniający się przez pocztę elektroniczną, komunikatory Yahoo i Paltalk, a także system wymiany plików KaZaA. Składa się z trzech składników stworzonych przy użyciu języka programowania Visual Basic. Dwa służą do wysyłania zainfekowanych wiadomości e-mail, natomiast trzeci wyszukuje adresy potencjalnych "ofiar" i zarządza procesem rozprzestrzeniania.

Instalacja

Po uruchomieniu zainfekowanego pliku robak zapisuje w folderze systemowym Windows swoje składniki z nazwami:

  • Media Player.exe,
  • SmtpMailer.dll,
  • Sys32.exe.

Następnie aktywowany jest główny składnik robaka ("Media Player.exe"), który modyfikuje rejestr systemowy w celu zapewnienia sobie uruchamiania wraz z każdym startem systemu operacyjnego:

KEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run Ioadqm=
(folder systemowy Windows)\Media Player.exe

Rozprzestrzenianie - system wymiany plików KaZaA

Robak tworzy kopie plików zapisanych w folderze współdzielonym systemu KaZaA, korzystając z następującego formatu: %nazwa znalezionego pliku%[2].pif.

Rozprzestrzenianie - wykorzystywane nazwy plików

Podczas rozprzestrzeniania przez pocztę elektroniczną oraz komunikatory szkodnik generuje nazwy załączników korzystając z następującej listy:

Hot_Show, Short_vClip, Beauty_VS_Your_FaCe, Endless_life, Hearts_translator, Shakiraz_Big_ass, Sweet_but_smilly, Broke_ass, Lo0o0o0o0oL, Gurls_Secrets, Tedious_SeX, Leaders_Scandals, HaWawi_N_Hawaii, Come_2_Cum, Tears_of_Happiness, White_AmeRica, Famous_PpL_N_Bad_Setuations, XxX_Mpegs_Downloader, Teenz_Raper, Real_Magic, The_Truth_of_Love, unfaithful_Gurls, How_to_improve_ur_love, AniMaL_N_Burning_Ladies, Aint_it_Funny, SeXy_LaDies_Gettin_Fucked.pif, LeSbian_Girls_Lesbo_gay.pif, Young_teen_Having_Sex.pif, Anal_Sex_Ass_fucking.pif, cute_Gays.pif, Big_tits_boobs_Pussies.pif, Wet_pussies.pif, HardCore_Amature_Naked_nude.pif, Wet_pussy_huge_cock_nice_dick.pif, Hot_teen_Virgin.pif, Show_clip_mpeg_movie.pif, Black_babes.pif, Music_downloader.pif, Old_women_Sex.pif, Shakira_ass.pif, Asian_girls.pif.

Rozprzestrzenianie - komunikatory

Robak szuka otwartych okien komunikatorów Yahoo oraz Paltalk i wysyła swoje kopie do wszystkich użytkowników zapisanych w książkach adresowych tych programów.

Rozprzestrzenianie - poczta elektroniczna

Robak skanuje wszystkie pliki HTM oraz HTML zapisane na stałych oraz wymiennych napędach i pobiera z nich adresy e-mail, pod które wysyłane są zainfekowane wiadomości. Szkodnik wykorzystuje bezpośrednie połączenie z domyślnym serwerem SMTP.

Zainfekowane wiadomości są konstruowane przez robaka przy użyciu wielu możliwości.

Przykładowe tematy:

  • '''*< Love Speaks it all >*'''
  • Co0o0o0o0oL
  • Fw:
  • Heeeeeeeeeeeeeeeey
  • Wussaaaaaaaap?
  • WoW But not for NoW
  • y0 Ain't Got Shyt !
  • Why Do We FOk?
  • Hi
  • Q <--- what does it look likt?
  • Hiiiii
  • Heeelllooo , anybody home????
  • Why did u send me this shyt?
  • Re:Hi
  • Lo0o0o0o0o0o0o0o0o0o0o0o0oL
  • hurry up !!!
  • To Early To Have Sex!
  • Fw:Send it to all of the ppl u love
  • Surpise
  • For your elegant Taste
  • Who are you??????
  • The Spanish Beauty
  • I've Got it :)
  • Helloooooooo
  • If u are booooored ...
  • %random number%

Przykładowe treści wiadomości:

  • Hii
    Try this great program allowing u to translate 100 languages .
    just write a passage in english and chose a language to get the traslation
    one of my friends used it with his arabian gf and it worked successfully ;)
    so , Now we can say ' Love Speaks it All ' :)

  • i thing the subject is enough to describe the attached file !
    check it out and replay your opinion
    Cya

  • You're gonna love it ;)
    delete it after reading , Professor :P

  • i've got this surprise from a friend :)
    it really deserves a few minutes of your time.
    Bye

  • Should i email u first to email me?
    u don't know how much ur emails mean to me.
    i wish u like this email and plzz don't forget me :)
    Bye

  • coz i couldn't get the other part of it ,
    any way , check it out
    having alil thing is better than nothing :P

  • All u can get is burning ur self
    Coz all we can do is to watch, nothing for us to touch :(

  • let me answer ,,,
    hummmmmmmmm
    Coz we Burn Our selves by watching ********** like the one i attached :P

  • (attached filename)
    it really fits us , check it out carefully :)
    bye
    i'v got it from a group called

  • Hummm , It looks like something men can't live without
    ha? did u get it?
    if not , enjoy ur Eyes by Seeing it ;) this one is deferent!

  • you seem to be mad @ me coz i didn't send u anything for along time,
    i didn't forget u , but i was busy , i've got all of ur emails
    thanx :) and i hope u accept this one as an apology.

  • i tried many times to send u this email but ur account was out of storage as i think
    any way , make sure that i didn't and i won't forget u :)
    Cya Forgotten :P

  • THANX BUT I DON'T ACCEPT SEX MATERIALS FROM STRANGERS.
    I SAW THEM N I WONDERED HOW U COULD DO SO ?
    I REATTCH THE SHYT U SENT
    PLEASE DON'T EMAIL ME ,

  • No thanx , keep it for you :)
    Bye

  • Measure your intelligence , the power of your mind and the speed of
    your reaction by answering several Qs , don't forget to send me your mark.
    I took 3.5/10 :P
    Let's see who is more intelligent than the other!
    Good Luck

  • this is the last one i could find ,
    Don't forget , send me the project in a zipped file :)
    Bye

  • When i saw it i didn't believe that she was only 8 yrs old.
    but when i saw the blood and heard the voice of her :( i got Shocked

  • Don't Believe ur self, I don't Love Ya :P
    But i Don't know why i sent this to u.
    Make use of it , Bye ;)

  • I'm in a harry ,
    Send me any clip with voice like the one i attached .
    And stop sending the booooring pictures
    Cya

  • elegant ppl should satisfy thier taste with elegant things ;)

  • I sent this email to another body :P and he replayed saying Thanx !!
    i always write your email wrongly.
    Hummm, if u like it replay to me , and don't forget to write ur signature to make
    sure that i didn't send the email to a wrong one ;)
    Bye

  • Hi
    i'm fine , thanx for asking :)
    and thanx for the nice attachements.
    but unfortunately, i don't remember you
    i will be waiting for u emaill to remind me of your self.
    Hummm , i hope u accept this show as an apology.
    bye

  • it's a mix of the Arabian beauty & the european grace !
    satisfy your eyes with the beauty that u have never seen ;)

  • I've got it from KaZaA network ,
    it seems not to be full but that's all i could find :(
    bye

  • I've got your email , but you forgot to upload the attachments.
    Don't be selfish , i sent you all the files i have, send me anything :(
    bye

  • i found it in my Recycled , i know u love this kind of thing ;)

  • attachment :) bye

Robak nie zawiera żadnych procedur destrukcyjnych.