Backdoor-компонента создает в системном реестре два ключа:
HKLM\Software\[MATRIX]
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
SystemBackup=%WinDir%\MTX_.EXE
где %WinDir% является основным каталогом Windows.
Первый ключ является идентификатором зараженности системы; второй ключ используется для авто-запуска backdoor-компоненты при каждом рестарте Windows.
При запуске backdoor-компонента остается активной как скрытое приложение (сервис), периодически обращается и какому-то Интернет-серверу и пытается скачать оттуда файлы, которые затем скрытно запускаются на выполнение. Таким образом, backdoor-компонента в состоянии по желанию автора вируса заразить компьютер другими вирусами или установить другие троянские программы.
Эта компонента также содержит ошибку, в результате которой при скачивании файлов Windows выдает стандартное сообщение об ошибке в приложении и завершает его работу.
Римейк оригинальной версии червя. При запуске червь копирует себя в систему под именем c:\windows\sysrnj.exe и затем создает и модифицирует множество ключей системного реестра для активизации этой копии.
HKEY_CLASSES_ROOT\rnjfile
\DefaultIcon = %1
\shell\open\command = sysrnj.exe "%1" %*
этот ключ вызывает запуск копии червя при ссылках на файл "rnjfile", все последующие изменяемые червем ключи как раз и перенаправляют управление на копию червя:
HKEY_CLASSES_ROOT \.exe = rnjfile
\.jpg = rnjfile
\.jpeg = rnjfile
\.jpe = rnjfile
\.bmp = rnjfile
\.gif = rnjfile
\.avi = rnjfile
\.mpg = rnjfile
\.mpeg = rnjfile
\.wmf = rnjfile
\.wma = rnjfile
\.wmv = rnjfile
\.mp3 = rnjfile
\.mp2 = rnjfile
\.vqf = rnjfile
\.doc = rnjfile
\.xls = rnjfile
\.zip = rnjfile
\.rar = rnjfile
\.lha = rnjfile
\.arj = rnjfile
\.reg = rnjfile
таким образом, при запуске/открытии файлов .EXE, .JPG, .JPEG и т.д. вызывается копия червя.
Эти ключи вызывают запуск червя при открытии любого из перечисленных выше файлов.
Червь посылает свои копии в конференцию USENET alt.comp.virus в файле, присоединенном к сообщениям:
From: "Romeo&Juliet" [romeo@juliet.v]
Subject:[Romeo&Juliet] R.i.P.
При рассылке своих копий по адресам электронной почты из адресной книги Windows червь использует разные варианты заголовка письма. "Тема" (Subject) сообщений червя может быть пустой, сгенеренной случайным образом или выбранной из следующего списка:
Romeo&Juliet
where is my juliet ?
where is my romeo ?
hi
last wish ???
lol :)
,,...'
!!!
newborn
merry christmas!
surprise !
Caution: NEW VIRUS !
scandal !
^_^
Re:
В зависимости от некоторых условий червь создает на зараженной машине в случайной последовательности дисковые каталоги с именами, взятыми наугад из папки \Recycled, и создает в них файлы со случайными же именами.
Макро-вирусы семейства заражают область глобальных макросов (шаблон NORMAL.DOT) при открытии зараженного документа. Другие документы заражаются при их закрытии. Некоторые варианты вируса заражают файлы также при их открытии. При заражении вирусы семейства дописываются к уже существующим макросам документа (если таковые присутствуют).
Вирусы содержат строку текста, по которой определяют начало своего кода. В различных версиях вируса эта строка различна:
<- this is a marker!
<- this is another marker!
Вирусы семейства ведут "отчет" о зараженных компьютерах: при заражении каждого нового компьютера они дописывают к своему коду строки-комментарии, в которые включены дата/время заражения и адрес пользователя (как он хранится в Windows).
Вирусы семейства проявляются различными способами. "Marker.a" в июле начиная с 23-го числа выводят сообщения:
Did You Wish Shankar on his Birthday ?
Thank You! I Love You. You are wonderfull.
You are Heart Less. You Will Be Punished For This
"Marker.c" и некоторые другие варианты посылают свой "отчет" о зараженных компьютерах на какой-то ftp-сервер.
Когда Word открывает документ, управление получает процедура вируса. Эта процедура проверяет открываемый документ и заражает его если он еще не заражен. Для этого она удаляет все макросы из документа а затем копирует макрос вируса из области глобальных макросов.
Вирус выгружает из памяти все загруженные в Word шаблоны и дополнения (add-ins) и затем удаляет все файлы из каталога автозагрузки Word. Вирус также меняет информацию о пользователе Word:
Имя = "JonMMx 2000"
инициалы = "MeMeX"
Адрес = "JonMMx2000@yahoo.com"
При первом заражении компьютера а также первого числа каждого месяца вирус создает в каталоге Windows файл "Jon.html" и устанавливает его как фон рабочего стола. Этот файл содержит текст:
a Poet For My Dear Love Dear Iin To the very best that happen in mylife Long ago and in my mind, I can see your face lonely and lost in time You were gone since yester month But the memories, never would dissapear I think of you, I THINK OF YOU. Yes it's true I can pretend. But the paint of blue, keep beat me till the end. Yes it's hard to understand. Why you leaving me and all we dreaming on Dear Iin, I close my eyes and see your face. That's all I have to do to be with you. Dear Iin, altough I can not touch your face. I know what I can do to be with you Long ago so faraway. But the light of blue, still living with me today. You were gone since yester month. But the memories never would dissapear. Speed Hari| WScript.KakWorm |
Этот интернет-червь написан на языке Java Script. Для своего распространения червь использует MS Outlook Express. В отличие от большинства червей этого класса он не прикрепляет к заражаемому письму дополнительный файл-вложение, а встраивает свое тело в письмо как скрипт.
Червь работает на английской и французской версиях Windows. Червь не работоспособен, если Windows установлена в каталог, отличный от "C:\WINDOWS".
Червь полностью работоспособен только в системах с установленным MS Outlook Express. В MS Outlook червь также активизируется и заражает систему, но распространяться дальше не может. Под другими почтовыми системами работоспособность червя зависит от возможностей данной почтовой системы.
При заражении компьютера червь создает три файла. Первые два используются для заражения системы, третий - для дальнейшего распространения через сообщения электронной почты:
1. KAK.HTA в каталоге автозагрузки Windows
2. HTA-файл со случайным именем в системном каталоге Windows
3. KAK.HTM файл в каталоге Windows
1-го числа месяца после 17:00 червь выводит на экран сообщение:
Kagou-Anti-Kro$oft says not today !
после чего закрывает Windows.
Червь приходит на компьютер в виде письма в HTML-формате. Тело письма содержит программу-скрипт на языке JavaScript, которая и является кодом червя. В результате при открытии или предварительном просмотре сообщения скрипт-программа не видна, т.к. скрипты никогда не отображаются в HTML-документах (сообщениях, страницах и т.п.), но получает управление - и червь активизируется.
Червь поражает систему в три этапа:
Такая "пошаговая" схема необходима червю потому, что на первом шаге (будучи запущенным из сообщения) червь может получить доступ к диску, но не к системному реестру. На втором шаге, когда червь запущен из дискового файла, он удаляет свой файл "KAK.HTA" из каталога автозагрузки Windows чтобы скрыть свое присутствие, т.к. все программы в каталоге автозагрузки видны в меню Start\Programs\Startup Menu (Старт\Программы\Автозагрузка).
При активизации из зараженного сообщения червь сначала получает доступ к локальному диску компьютера. Чтобы обойти защиту (доступ к диску из скриптов по умолчанию запрещен) червь использует брешь в защите, именуемую "TypeLib Security Vulnerability" - он создает ActiveX-объект, который отмечен как безопасный, но в то же время может создавать файлы на диске. Используя этот объект червь и создает свои файлы на локальном диске компьютера.
Затем червь создает файл "KAK.HTA" и помещает в него свой код. Этот файл будет исполнен при следующей загрузке Windows, т.к. червь создает его в каталоге автозагрузки Windows.
HTA-файл (HTML Application) - тип файлов, появляющийся после установки MS Internet Explorer 5.0. HTA-файлы содержат обычный HTML-текст и скрипт-программы, но при запуске не вызывают оболочку Internet Explorer, а выполняются как отдельные приложения. Это дает возможность разрабатывать приложения, используя скрипт-программы.
При создании файлов червь не определяет истинного местоположения каталога Windows, а всегда предполагает, что Windows установлена в каталоге "C:\WINDOWS". Поэтому червь не работает, если каталог Windows отличен от "C:\WINDOWS". При записи в каталог автозагрузки червь пробует записать в два каталога автозагрузки:
MENUDг~1\PROGRA~1\DгMARR~1 (имя по умолчанию для французской версии Windows)
STARTM~1\Programs\StartUp (имя по умолчанию для английской версии Windows)
Если каталог автозагрузки Windows имеет другое имя (в другой локализации Windows), то червь не может записать свои файлы на диск и поэтому не может распространяться далее.
При следующей перезагрузке Windows файл "KAK.HTA" в каталоге автозагрузки получает управление. Скрипт червя, записанный в этом файле, создает такой же HTA-файл в системном каталоге Windows. Этот файл имеет имя, зависящее от настроек системы (например "9A4ADF27.HTA"). Затем червь изменяет системный реестр так, чтобы созданный HTA-файл запускался при каждой загрузке Windows. Задача этого файла - заразить систему заново, если пользователь поменял "подпись по умолчанию" в Outlook Express (т.е. отправляемые письма перестают заражаться).
Затем скрипт в файле "KAK.HTA" создает HTML-файл "KAK.HTM", который содержит код червя (HTML-страница в этом файле не имеет текста, только код червя). Этот файл затем вставляется в отправляемые сообщения.