|
        
|
I-Worm/BadTrans.B
Jde o druhou, daleko úspěšnější variantu červa I-Worm/BadTrans.A. Šíří se jako soubor v příloze elektronické pošty. Jméno souboru, ve kterém se I-Worm/BadTrans.B ukrývá má následující tvar:
{A}.{pripona1}.{pripona2}
Část označena jako {A} může obsahovat:
Pics, images, README, New_Napster_Site, info, news_doc, HAMSTER, YOU_are_FAT!, stuff, SETUP, Card, Me_nude, Sorry_about_yesterday, docs, Humor, fun, SEARCHURL, S3MSONG
První přípona může obsahovat řetezce .DOC, .ZIP nebo .MP3 a druhá pak .SCR nebo .PIF. V některých případech není rozhodující druhá přípona viditelná, takže to pak vypadá, že např. dorazila neškodná muzika ve formátu MP3 :(
Subjekt "postiženého" e-mailu obsahuje obvykle pouze řetezec RE:. E-mailové adresy "budoucích obětí" získáva červ ze složky doručené pošty (prostřednictvím MAPI) - odpovídá na dosud nepřečtené e-maily, popř. adresy vyhledává v souborech s příponou .HT* a .ASP.
Do infikovaného PC vypuští tyto soubory:
Soubor KDLL.DLL obsahuje tzv. "keylogger", tj. program, který krade hesla a odesílá je do Internetu cizím lidem. "Keylogger" je vypouštěn červem I-Worm/BatTrans.B do postiženého počítače. Pokud zjistí, že nadpis aktivního okno ve Windows začíná písmeny LOG, PAS, REM, CON, TER nebo NET, zapisuje si uživatelem stisknuté klávesy (např. LOG zabere v případě okna s nadpisem Login apod.). Vedlejším efektem je, že často nelze napsat velké písmeno s háčkem či čárkou (místo "Č" se zobrazí např. "ˇˇC" apod.).
Před e-mailovou adresu postiženého odesilatele vkládá znak "_", takže ho nelze zpětně o nebezpečí informovat při použití funkce REPLY - ODPOVĚDĚT (např. adresa franta@kuldan.cz bude změnena na _franta@kuldan.cz).
Červ I-Worm/BadTrans.B využívá známé bezpečnostní díry v Internet Exploreru, která umožní automatické spuštění infikované přílohy už při pouhém otevření e-mailové zprávy ! Uživatel se tedy už ani nemusí namáhat soubor v příloze spustit !
Záplatu na tuto bezpečnostní díru lze stáhnout zde !
Výše uvedené soubory je během léčení nutné odmazat nejlépe z režimu MS-DOS, popř. ze startovací/systémové diskety.
