در ماه اگوست سال 2003 شاهد دور تازه اي از تهاجمات ويروسهاي مخرب اينترنتي بوديم يکي از اين ويروسهاي خطرناک ويروسي بنام w32.sobig.f@mm بود.
اين ويروس داراي مشخصه هاي Mass-mailing ( توده هاي عظيم پستي ) و network-aware worm ( کرم هوشمند شبکه اي ) مي باشد و قادر است خودش را به همه آدرس هاي پستي موجود در فايل هاي با پسوند dbx.eml.hlp.htm.html.mht.wab.txt .در کامپيوتر ميزبان بصورت خودکار کپي نمايد و از طريق اين ادرسها به ساير کامپيوترها حمله نمايد وبه سرعت تکثيرشود . همچنين با استفاده از موتورهاي که داراي smtp ميباشند نيز منتشر مي شود و سعي مي کند يک کپي از خودش را بر روي شيکه هاي مشترکي که در دسترس آن مي باشند بصورت خودکارايجاد نمايد.
مشخصات يک نامه الوده به ويروس sobig.f : فسمت form : ( فرستنده نامه )
اين ويروس اغلب از آدرس admin@internet.com استفاده مي کند و مي تواند از ادرسهاي که در کامپيوتر آلوده بدست آورده استفاده نمايد و همچنين قادر است با اتصال به يک سرور smtp از آدرسهاي آن بعنوان ادرس فرستنده بهره جويد.
قسمت subject : ( موضوع نامه )
در اين قسمت نامه الوده عناويني زير مشاهده مي شود
. re: details .
. re: approved .
. re: re: my details .
. re: thank you !.
. re: that movie .
. re: wicked Screensaver .
. re: your application .
. thank you !.
. your details .
قسمت body : ( متن نامه )
در اين قسمت نامه آلوده مطالب زير به چشم مي خورد
. see the attached file for details .
. please see the attached file for details ..
قسمت attachment : ( پيوست نامه )
در نامه آلوده به ويروس پيوستهاي زير مشاهده مي شوند.
. your_document.pif .
. document_all.pif .
. thank_you.pif .
. your_details.pif .
. details.pif .
. document_9446.pif .
. application.pif .
. wicked_SCR.SCR .
. movie0045.pif .
توجهات ويژه :
- ويروس w32.sobig.f@mm در تاريخ 10 سپتامبر 2003 بي اثر مي شود . لذا اخرين روزي که اين ويروس منتشر مي شود 9 سپتامبر سال 2003 مي باشد و کامپيوترهاي که به اين ويروس الوده شده اند بصورت مخفيانه نسخه Update شده اين ويروس را از سرورهاي اصلي مشخص تو سط نويسندگا ن ويروس جهت تها جم تازه دريافت مي کنند.( توضيح اين که رفتار مشابه اي در نسخه هاي قبلي اين ويروس مشاهده شده است )
- از انجا که اين ويروس پورتهاي UDP 123, 995, 996, 997, 998, 999, 8998 را باز مي کند در کامپيوترهاي آلوده به ويروس ترافيک پورت UDP ودر نتيجه کاهش سرعت اينترنت مشاهده شده است در ضمن بعلت باز شدن پورتهاي فوق احتمال نفوذ غير مجاز در کامپيوتر و سرور الوده وجود دارد
- اين ويروس قادر است فايلهاي را که مي تواند به کمک آنها خود را Update کند بصورت خودکار و مخفيانه بر روي کامپيوتر الوده download و اجرا نمايد . و ضمنا به کمک اين توانائي اين ويروس قادراست در شرايطي به سرور هاي که نويسندگان مشخص کرده اند متصل شود و يک فايل Trojan را دريافت و اجرا نمايد . و مواقعي که احتمال ذارد اين ويروس به سرورهاي مشخص شده براي download فايلهاي مورد نياز خود متصل شود عبارتند از
- روزهاي جمعه و يا شنبه به وقت utc (coordinated time universal ساعت جهاني ) در ساعاتي بين 7 p.m و 10 p.m .- و شماره IP سرورهاي که احتمال مي رود دستگاه الوده بصورت خودکار به آنها وصل شود و فايلهاي مورد نياز را download کند عبارتند از :
- 12.232.104.221
- 12.158.102.205 -
- 24.33.66.38 -
- 24.197.143.132 -
- 24.206.75.137 -
- 24.202.91.43 -
- 24.210.182.156 -
- 61.38.187.59 -
- 63.250.82.87 -
- 65.92.80.218 -
- 65.92.186.145 -
- 65.95.193.138 -
- 65.93.81.59 -
- 65.177.240.194 -
- 66.131.207.81 -
- 67.9.241.67 -
- 67.73.21.6 -
- 68.38.159.161 -
- 68.50.208.96 -
- 218.147.164.29 -
- اين ويروس در دايرکتوري سيستم عامل ويندوز فايل هاي winppr32.exe و winstt32.dat را کپي مي کند.
ادامه دارد ......
ارسال مقاله توسط عضو محترم سايت با نام کاربري : sm1372
/س