ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Win32.HLLM.Netsky.35328

(Email-Worm.Win32.NetSky.q, WORM_NETSKY.P, Win32.Netsky.P@mm, W32/Netsky.p@MM, Worm/Netsky.HB, Parser error, Worm/Netsky.Q.Pk, Win32/Netsky.P!Worm, Worm/Netsky.P, Worm:Win32/Netsky.P@mm, Worm/Netsky.AP, Worm:Win32/Netsky.P@mm , WORM_NETSKY.DAM, WORM_Netsky.DAM, Worm/Netsky.O.2, W32/Netsky.gen@MM, WORM_NETsky.dam, W32/Netsky.p@MM!zip, WORM/Netsky.O.2, Packer.FSG.A, I-Worm/Netsky, W32/Cabanas, W32.Netsky.P@mm, Win32/Netsky.P@mm)

Добавлен в вирусную базу Dr.Web: 2004-03-22

Описание добавлено:

Тип вируса: Почтовый червь массовой рассылки

Уязвимые ОС: Win95/98/Me/NT/2000/XP

Размер файла: 29 568 байт

Упакован: FSG

Техническая информация

  • Распространяется по электронной почте, используя собственную реализацию SMTP протокола.

  • Для обеспечения своей постоянной работы вносит в секцию автозагрузки реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run запись "Norton Antivirus AV" = %WinDir%\FVProtect.exe.

  • Создает семафор “_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_”
  • Копирует в %WinDir% файлы userconfig9x.dll, base64.tmp, zip1.tmp, zip2.tmp, zip3.tmp, zipped.tmp.
  • Для своего распространения сканирует локальные диски компьютера, просматривая в поиске адресов файлы с такими расширениями:
    .pl
    .htm
    .html
    .eml
    .txt
    .php
    .asp
    .wab
    .doc
    .vbs
    .rtf
    .uin
    .shtm
    .cgi
    .dhtm
    .adb
    .tbb
    .dbx
    .sht
    .oft
    .msg
    .jsp
    .wsh
    .xml
  • Тема сообщения выбирается из списка:
    You were registered to the pay system.
    Can you confirm it?
    Is that your password?
    Re: Is that your document?
    all_doc01
    document04
    about_you
    your_document
    Please read the attached file.
    Re: Your document
    Re: Approved document
    Encrypted_msg01 pgp_sess01
    Protected message is attached.
    Encrypted message is available.
    Mail Authentication Protected Mail System
    Please confirm my request
    readme msg
    Re: Encrypted Mail
    Re: Extended Mail
    Re: Status
    Re: Notify
    Re: SMTP Server
    Re: Mail Server
    Re: Delivery Server
    Re: Bad Request
    Re: Failure
    Re: Thank you for delivery
    Re: Test
    Re: Administration
    Re: Message Error
    Re: Error
    Re: Extended Mail System
    Re: Secure SMTP Message
    Re: Protected Mail Request
    Re: Protected Mail System
    Re: Protected Mail Delivery
    Re: Secure delivery
    Re: Delivery Protection
    Re: Mail Authentification
  • Имя вложения выбирается из списка:
    text
    message data
    excel document
    screensaver
    word document
    bill
    information
    details
    file
    document
    application
    website
    product
    letter
  • Червь обладает способностью распространяться по файлообменным сетям. Для этого он сканирует локальные диски на наличие папок с такими именами:

    icq
    shar
    download
    kazaa
    donkey
    mule
    bear
    morpheus
    lime

  • В случае обнаружения таких папок, червь копирует в них свои копии с со следующими названиями:

    XXX hardcore pics.jpg.exe
    Dark Angels new.pif
    Porno Screensaver britney.scr
    Best Matrix Screensaver new.scr
    Adobe Photoshop 10 full.exe
    Adobe Premiere 10.exe
    Teen Porn 15.jpg.pif
    Microsoft WinXP Crack full.exe
    Adobe Photoshop 10 crack.exe
    Windows XP crack.exe
    Windows 2003 crack.exe
    Arnold Schwarzenegger.jpg.exe
    Saddam Hussein.jpg.exe
    Cloning.doc.exe
    American Idol.doc.exe
    Eminem Poster.jpg.exe
    Altkins Diet.doc.exe
    Eminem blowjob.jpg.exe
    The Sims 4 beta.exe
    Lightwave 9 Update.exe
    Ulead Keygen 2004.exe
    Smashing the stack full.rtf.exe
    Internet Explorer 9 setup.exe
    Opera 11.exe
    DivX 8.0 final.exe
    WinAmp 13 full.exe
    Cracks & Warez Archiv.exe
    Visual Studio Net Crack all.exe
    ACDSee 10.exe
    MS Service Pack 6.exe
    Clone DVD 6.exe
    Magix Video Deluxe 5 beta.exe
    Star Office 9.exe
    Partitionsmagic 10 beta.exe
    Gimp 1.8 Full with Key.exe
    Norton Antivirus 2005 beta.exe
    Windows 2000 Sourcecode.doc.exe
    Keygen 4 all new.exe
    3D Studio Max 6 3dsmax.exe
    1001 Sex and more.rtf.exe
    RFC compilation.doc.exe
    Full album all.mp3.pif
    Dictionary English 2004 - France.doc.exe
    Win Longhorn re.exe
    WinXP eBook newest.doc.exe
    Learn Programming 2004.doc.exe
    How to hack new.doc.exe
    Doom 3 release 2.exe
    E-Book Archive2.rtf.exe
    netsky source code.scr
    Ahead Nero 8.exe
    Screensaver2.scr
    Serials edition.txt.exe
    Microsoft Office 2003 Crack best.exe

  • Червь подписывает рассылаемые письма от имени различных антивирусов:
    +++ Attachment: No Virus found
    +++ MessageLabs AntiVirus - www.messagelabs.com

    +++ Attachment: No Virus found
    +++ MC-Afee AntiVirus - www.mcafee.com

    +++ Attachment: No Virus found
    +++ Kaspersky AntiVirus - www.kaspersky.com

    +++ Attachment: No Virus found
    +++ Panda AntiVirus - www.pandasoftware.com

    ++++ Attachment: No Virus found
    ++++ Norman AntiVirus - www.norman.com

    ++++ Attachment: No Virus found
    ++++ F-Secure AntiVirus - www.f-secure.com

    ++++ Attachment: No Virus found
    ++++ Norton AntiVirus - www.symantec.de

  • Не рассылает свои копии, если в адресе присутствуют такие комбинации:
    @microsof
    @antivi
    @symantec
    @spam
    @avp
    @f-secur
    @bitdefender
    @norman
    @mcafee
    @kaspersky
    @f-pro
    @norton
    @fbi
    abuse@
    @messagel
    @skynet
    @pandasof
    @freeav
    @sophos
    ntivir
    @viruslis
    noreply@
    spam@
    reports@
  • Помимо своей основной функции (распространения по электронной почте), червь обладает деструктивными функциями:

    Удаляет из системного реестра такие ключи:
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Explorer
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msgsvr32
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winupd.exe
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\direct.exe
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jijb
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DELETE ME
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Sentry
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\system.
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\service
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Taskmon
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Video
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Services Host

    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\Video
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\system.

    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Explorer
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Taskmon
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Services Host
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OLE
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rate.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ssate.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\gouday.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\direct.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winupd.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\d3dupdate.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\au.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\srate.exe
    HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysmon.exe

    Червь также удаляет следующие ключи из реестра:
    HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
    HKLM\System\CurrentControlSet\Services\WksPatch
    HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF

  • В теле червя содержатся текстовые строки, свидетельствующие о негативном отношении авторов семейства почтовых червей Netsky к авторам другого семейства почтовых червей - Beagle:

    B+a+g+l+e,
    d+o +n+o+t+ d+e+l+e+t+e
    S+k+y+N+e+t.

  • Подставляет в тело письма ссылку на якобы полное письмо. Имя домена подставляется из второй части адреса получателя (@domainname), а имя адресата - из первой части (username@). Например:
    ------------------------------
    From: lola@sexnet.com
    To:lola@sexnet.com
    Subject: Mail Delivery (failure lola@sexnet.com)

    If the message will not displayed automatically,
    follow the link to read the delivered message.

    Received message is available at:

    www.sexnet.com/inbox/lola/read.php?sessionid-17423

    ------------------------------

  • Рекомендации по восстановлению системы

    1. Загрузить ОС Windows в Безопасном режиме (Safe Mode).
    2. Воспользоваться дисковым сканером Dr.Web® либо бесплатной утилитой Dr.Web® CureIT! для сканирования локальных дисков компьютера. Для всех найденных инфицированных файлов необходимо применить действие "Лечить".
    3. Восстановить реестр из резервной копии.

    Важно! Непосредственно перед выполнением п.2 необходимо настроить используемый почтовый клиент таким образом, чтобы он хранил вложения в виде отдельных файлов, а не в теле почтовой базы. Например, хранение вложений отдельно от почтовой базы в почтовом клиенте TheBat! настраивается следующим образом:
    Ящик - Свойства почтового ящика - Файлы и каталоги - Хранить присоединенные файлы в отдельном каталоге (Account - Properties - Files & Directories - Keep attachment files - Separately in a special directory).

    Российский разработчик антивирусов Dr.Web с 1992 года
    Dr.Web в Реестре Отечественного ПО
    Dr.Web совместим с российскими ОС и оборудованием
    Dr.Web пользуются в 200+ странах мира
    Техническая поддержка 24х7х365 Рус | En

    Dr.Web © «Доктор Веб»
    2003 — 2021

    «Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

    125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А