В Сети появился новый опасный вирус. Вредоносная программа Plexus.a распространяется по локальным сетям и через Интернет в виде вложений в зараженные электронные письма, файлообменные сети, а также через уязвимости в службах LSASS и RPC DCOM Microsoft Windows.
На настоящий момент антивирусные компании получили большое число сообщений о случаях заражения этим червем. На основании анализа текста вируса "Лаборатория Касперского" пришла к выводу, что источником его создания стали исходные коды печально известного червя Mydoom.
Чтобы сбить пользователей Сети с толку и увеличить число компьютеров-жертв, автор Plexer.a написал пять различных вариантов опасных писем. Они отличаются по формальным признакам: заголовку, текстовому содержанию и названию приложенного к сообщению файла. Неизменным остается его размер: упакованный в формате FSG файл занимает 16208 байт, распакованный - 57856.
После запуска червь копирует себя в системный каталог Windows с именем upu.exe и регистрирует данный файл в ключе автозапуска системного реестра для обеспечения активации вредоносной программы при каждой последующей загрузке компьютера. Для определения своего присутствия в системе червь также создает уникальный идентификатор Expletus. Затем он сканирует файловую систему пораженного компьютера и рассылает себя по всем найденным адресам электронной почты.
Помимо процедуры самораспространения, Plexus.a располагает еще двумя деструктивными функциями, представляющими значительную угрозу для инфицированного компьютера. Во-первых, червь пытается разрушить антивирусную защиту машин, защищенных "Антивирусом Касперского". Для этого он нарушает работу механизма автоматической загрузки обновлений антивирусных баз. Это дает злоумышленникам доступ к удаленному управлению компьютером, в частности, позволяет запускать на выполнение различные команды и загружать файлы по усмотрению автора червя.
CNews
04.06.2004 08:45