Létrehozva: 2007-11-06, 17:24:52

Utolsó frissítés: 2009-11-09, 20:12:52

Platform: Win32

Típus: féreg

Méret: 83456

Dátum: 2006-09-12

Tömörítő: UPX

Nyelv: MS Visual C++

Veszélyeztetett operációs rendszer(ek): Windows 95, Windows 98, Windows Me, Windows NT, Windows 2000, Windows Server 2003, Windows XP

Nem veszélyeztetett operációs rendszer(ek): Windows 3.xx, DOS, Linux, Unix, Solaris, MacOS, Mac OS X, OS2

---

Elnevezések:

A különböző vírusvédelmek az egyes vírusokat, férgeket eltérő névvel illethetik. Előfordulhat, hogy egy vírusvédelmi rendszer egy adott károkozó program különböző példányait különböző neveken azonosítja, de az is elképzelhető, hogy különböző vírusokat, férgeket illet azonos néven. Az alábbi lista tájékoztató jelleggel mutatja a legelterjedtebb vírusvédelmek elnevezését, mely természetesen még az adott vírusvédelmi rendszer különböző verziója esetén is más és más lehet.

A Win32/Womble.D féreg elnevezései az egyes vírusvédelmek szerint:

vírusvédelem	elnevezés
Avast	Win32:Womble-E
AVG	I-Worm/Mytob.ALU
BitDefender	Win32.Womble.C@mm
e-Trust	Win32/Womble.D
F-PROT	W32/Womble.C
F-Secure	Email-Worm.Win32.Womble.d
Ikarus	Email-Worm.Win32.Womble.d
Kaspersky	Email-Worm.Win32.Womble.d
McAfee	W32/Womble@MM(Virus)

vírusvédelem	elnevezés
Microsoft	Win32/Womble.A@mm
NOD32 (ESET)	Win32/Womble.D
Norton Antivirus	W32.Womble.A@mm
Panda	W32/Wapplex.B.worm
Rising Antivirus	Worm.Mail.Womble.a
Sophos	W32/Womble-E
Trend Micro	WORM_WOMBLE.D
VirusBuster	I-Worm.Womble.B1

---

Telepítés:

Az interneten vagy lokális hálózaton terjedő kártevők elsődleges célja, hogy egy másik számítógépet fertőzzenek meg. A megtámadott számítógép működésébe, annak operációs rendszerébe általában úgy épülnek be, hogy az egy esetleges újraindítást (boot-olást) követően is aktivízálja a kártevő kódját. Ezt általában úgy érik el, hogy a kártevő kódját tartalmazó fájl(oka)t hoznak létre vagy meglévő fájl(oka)t módosítanak, illetve beállítanak néhány bejegyzést a rendszerleíró adatbázisban, ami arra utasítja az induló operációs rendszert, hogy a frissen elhelyezett kártékony kódot is el kell indítani. Emellett - nem közvetlenül az újraindítás érdekében - más területeken (könyvtárakban) is létrehoznak magukból másolatot. Ennek kettős célja van: Egyrészt egy esetleges vírusirtást követően egy eldugott helyen megmaradhatnak a fertőzött állományok, másrészt helyi hálózatokban, megosztott könyvtárakban, peer-to-peer hálózatokban is képes terjedni. Kihasználhatják továbbá a Windows alapértelmezés szerinti beállítását is, miszerint egy létrehozott AUTORUN.INF nevű fájllal el lehet érni, hogy egy meghajtó megnyitásakor is aktivizálódjon a kártékony kód.

A Win32/Womble.D féreg a Windows System32 mappájában (alapértelmezés szerint C:\Windows\System32) létrehozza az alábbi fájlokat: cftmonw.exe firefoxw.exe ieupdate.exe inet.exe javawin.exe teljes lista... cftmonw.exe firefoxw.exe ieupdate.exe inet.exe javawin.exe lsasswin.exe mdmw.exe msoffice.exe netupdate.exe netwin.exe servicesw.exe spoolsw.exe svchostwin.exe winlog.exe winlogin.exe winlogonw.exe vissza... A Win32/Womble.D féreg a létrehozandó fájl nevét több részből állítja össze. A fájl nevének első részét az alábbiakból kombinálja: C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\dvd_info C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\free C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\h_core C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\l_this teljes lista... C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\dvd_info C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\free C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\h_core C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\l_this C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\lunch C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\mp3 C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\my_staff C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\new_mp3 C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\new_video C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\photo C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\sh_docs C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\take_it C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\video C:\Documents and Settings\<user>\Local Settings\Application Data\Microsoft\WinTools\xxx vissza... A fájl nevének második részét az alábbiakból kombinálja: anna bush GoogleHack me My passwords teljes lista... anna bush GoogleHack me My passwords MySexMovie MySexPicture MyWife OurNewCar OurNewHouse Seduction secrets WallPaper Windows serial number vissza... A fájl nevének harmadik részét az alábbiakból kombinálja: .doc .exe .doc .pif .jpg .pif .txt .exe .txt .pif .doc .exe .doc .pif .jpg .pif .txt .exe .txt .pif Megjegyzés: A leírásban szereplő <user> a felhasználó nevét jelöli.

A Win32/Womble.D féreg a rendszerleíró adatbázisba az alábbi bejegyzéseket hozza létre, illetve módosítja (ha már létezik): [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "windows_startup"="C:\Windows\System32\javawin.exe" [HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\FirstRun] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "windows_startup"="C:\Windows\System32\javawin.exe" [HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\FirstRun]

A folyamatosan figyelő memóriarezidens vírusoknak, férgeknek célszerű gondoskodni arról, hogy csak egyszer kerüljenek a memóriába. Ennek érdekében úgynevezett mutexet hoznak létre, amelynek a létét a memóriába kerülés elött ellenőrzik.

A Win32/Womble.D féreg wmf.mtx.4 néven hoz létre mutexet.

---

E-mail üzenetek

Az e-mail üzenetekben terjedő férgek elsődleges célja, hogy egy másik számítógépet megfertőzzenek. Ezt e-mail üzenetek létrehozásával és elküldésével érik el. Az létrehozott e-mail üzenetek általában tartalmazzák a féreg kódját, de az is előfordulhat, hogy maga a megtámadott számítógép felhasználója tölti azt le az üzenetben megadott hivatkozásról. Az egyes férgek a legkülönfélébb paraméterekkel rendelkező e-mail üzeneteket képesek generálni és elküldeni.

A Win32/Womble.D féreg a terjedése érdekében e-mail üzeneteket generál és ebben küldi tovább saját kódját.

Hogy az e-mail üzenetekben terjedő vírusok, férgek minél inkább el tudjanak terjedni, a megtámadott számítógépeken e-mail címeket gyűjtenek. Ezeket az e-mail címeket aztán felhasználják egyrészt arra, hogy a vírus, féreg kódját továbbküldjék. Esetenként a megtalált címeket a Feladó mező kitöltésére is használják, meghamisítva ezzel az üzenet forrását.

A Win32/Womble.D féreg a(z) [HKEY_LOCAL_MACHINE\Software\Microsoft\WAB\WAB4\Wab File Name] regisztrációs bejegyzést használja az email címek kereséséhez.

A féreg a [HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts] regisztrációs adatbázis bejegyzést használja SMTP szerver kereséséhez.

Az összeállított e-mail üzenetek felépítése az alábbi: Feladó A levél feladóját több módszerrel állíthatja össze. A lehetőségek az alábbiak: A feladó e-mail címében szereplő felhasználó nevét választhatja az alábbiak közül: ada adam alex barbara bill teljes lista... ada adam alex barbara bill bob brad celine chris damien david don donald elizabet eva george hanz jack jerry john mariah mark marry matt mickle password robert shawn ted tom tommy william vissza... A feladó e-mail címéhez az alábbi domainneveket használhatja fel: 123-email.com 138mail.com 888mail.net altavista.digital.com animail.net teljes lista... 123-email.com 138mail.com 888mail.net altavista.digital.com animail.net asiamail.com aussiemail.com.au BuildReferrals.com canada.com canoemail.com coolmail.to dbzmail.com dcemail.com didamail.com dma.be doramail.com ezwebmailer.com fastemailer.com fastmail.fm freemail.com.au gnu.org gopile.com graffiti.net hotmac.com hush.com hushmail.com inbox.com inmail.sk koreanmail.com letterbox.org linuxmail.org macbox.com mail-center.com mail.atlas.cz mail2web.com mailasia.com mailcity.com mailmaster.com mailpanda.com mauimail.com moose-mail.com myfastmail.com mypad.com myway.com netzoola.com refrewards.com rocketmail.com snail-mail.net SoftHome.net starmail.com tmicha.net uk2.net ureach.com usa.com usa.net uymail.com vfemail.net walla.com weekonline.com whale-mail.com wildmail.com yahoo.ca yahoo.com yyhmail.com vissza... Összegyüjtheti a levél feladóját a megtámadott számítógépről, illetve korábban megtámadott számítógépekről gyűjtötte össze. Tárgy A levél lehetséges tárgyai: !! Action Beauty Bush FIFA teljes lista... !! Action Beauty Bush FIFA Helo Hi important Incredible!! info Kiss Laura Laura and John Lola Look at this!!! Miss Khan Nataly Ola Olympus Paula pic pics private private pics Re: Re: hi Re: info RE: pic read this Robert Sex vissza... Melléklet A féreg által elküldött e-mailben szereplő melléklet nevének első részét az alábbi szavakból állítja össze: anna bush GoogleHack me My passwords teljes lista... anna bush GoogleHack me My passwords MySexMovie MySexPicture MyWife OurNewCar OurNewHouse Seduction secrets WallPaper Windows serial number vissza... A féreg által elküldött e-mailben szereplő melléklet nevének második részét az alábbi szavakból állítja össze: .jpg .doc .txt .jpg .doc .txt A féreg által elküldött e-mailben szereplő melléklet nevének harmadik részét az alábbi szavakból állítja össze: .pif .exe .zip .pif.zip .exe.zip .pif .exe .zip .pif.zip .exe.zip

---

Biztonsági rések, sérülékenységek

Egy, az Interneten terjedő vírus, féreg a felhasználó interaktívitása mellett kihasználhatja a megtámadott számítógép operációs rendszerének, illetve valamely alkalmazásának biztonsági hibáját. Ennek révén képes arra, hogy a megtámadott számítógépen vezérlést szerezzen.

A Win32/Womble.D féreg a terjedése érdekében kihasználja a Microsoft MS04-011 jelű sérülékenységét.

Az LSASS.EXE (Local Security Authority Subsystem Service) programban található puffertúlcsordulási hiba távolról történő kódfuttatást tesz lehetővé az érintett rendszeren, mely által a támadó teljesen átveheti a távoli számítógép vezérlését.

A Win32/Womble.D féreg a terjedése érdekében kihasználja a Microsoft MS05-039 jelű sérülékenységét.

A Plug and Play (PnP) szolgáltatáson programkód távoli futtatását lehetővé tevő biztonsági rés található. Ezt kihasználva a támadó teljes mértékben átveheti az irányítást az érintett számítógép felett, majd ezt követően programokat telepíthet, illetve adatokat tekinthet meg, módosíthat és törölhet és korlátozás nélküli jogosultságokkal rendelkező új fiókokat is létrehozhat.

---

Támadás az interneten

Sok vírus, féreg képes arra, hogy az interneten támadást indítson más számítógépek ellen, lehetetlenné téve azok használatát.

A féreg megkísérel az alábbi webcímekre csatlakozni: