Підтримка
Цілодобова підтримка | Правила звернення

Зателефонуйте

Глобальна підтримка:
+7 (495) 789-45-86

Поширені запитання |  Форум |  Бот самопідтримки Telegram

Ваші запити

  • Всі: -
  • Незакриті: -
  • Останій: -

Зателефонуйте

Глобальна підтримка:
+7 (495) 789-45-86

Зв'яжіться з нами Незакриті запити: 

Профіль

Профіль

Win32.HLLM.Netsky.based

(W32/Netsky, WORM_NETSKY.P, Email-Worm.Win32.NetSky.af, MalwareScope.Email-Worm.Mydoom.1, Worm/Netsky.HB, Parser error, Win32.Sality.M, Win32/Sality, Worm/Netsky.O.2.Unp, Win32.NetSky.AG@mm, WORM_NETSKY.J, Email-Worm.Win32.NetSky.ab, Worm/Netsky.P.2, I-Worm/Netsky.G, I-Worm/Netsky.L, PE_VALLA.A, Worm/Netsky.AG, Packer.FSG.A, W32/Netsky.c@MM, I-Worm/Netsky, Win32.Netsky.E@mm, TrojanDropper:Win32/Netsky.B, I-Worm/Netsky.AA, I-Worm/Netsky.CY, Win32.Netsky.B@mm)

Добавлен в вирусную базу Dr.Web: 2004-03-01

Описание добавлено:

Тип вируса: Почтовые черви массовой рассылки

Уязвимые ОС: Win95/98/Me/NT/2000/XP

Размер файла: может быть 25 352 байт, 17 424 байт, 24 840 байт, 22 016 байт, 18 944 байт, 31 232 байт

Упакован: могут быть упакованы PETITE, PEPACK, PCPEC, UPX, PECOMPACT

Техническая информация

  • Чтобы обеспечить автоматический запуск своих копий при каждой перезагрузке Windows, различные модификации червя могут вносить данные
    C:\Windows\winlogon.exe -stealth,
    C:\Windows\MsnMsgrs.exe -alev,
    C:\Windows\fooding.exe -antivirus
    в ветвь реестра HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
  • Адреса для почтовой рассылки черви извлекают из файлов со следующими расширениями:

    .dhtm
    .cgi
    .shtm
    .msg
    .oft
    .sht
    .dbx
    .tbb
    .adb
    .doc
    .wab
    .asp
    .uin
    .rtf
    .vbs
    .html
    .htm
    .pl
    .php
    .txt
    .eml
  • Для распространения по сети обмена файлами черви копируют себя в общие директории в виде файлов со следующими именами:

    The Sims 3 crack.exe
    Lightwave SE Update.exe
    Ulead Keygen.exe
    Smashing the stack.rtf.exe
    IE58.1 full setup.exe
    Opera.exe
    DivX 7.0 final.exe
    WinAmp 12 full.exe
    Cracks & Warez Archive.exe
    Visual Studio Net Crack.exe
    ACDSee 9.exe
    MS Service Pack 5.exe
    Clone DVD 5.exe
    Magix Video Deluxe 4.exe
    Star Office 8.exe
    Partitionsmagic 9.0.exe
    Gimp 1.5 Full with Key.exe
    Norton Antivirus 2004.exe
    Windows Sourcecode.doc.exe
    Keygen 4 all appz.exe
    3D Studio Max 3dsmax.exe
    1000 Sex and more.rtf.exe
    RFC Basics Full Edition.doc.exe
    Dictionary English - France.doc.exe
    Win Longhorn Beta.exe
    WinXP eBook.doc.exe
    Learn Programming.doc.exe
    How to hack.doc.exe
    Doom 3 Beta.exe
    E-Book Archive.rtf.exe
    Virii Sourcecode.scr
    Ahead Nero 7.exe
    Full album.mp3.pif
    Screensaver.scr
    Serials.txt.exe
    Microsoft Office 2003 Crack.exe
    XXX hardcore pic.jpg.exe
    Dark Angels.pif
    Porno Screensaver.scr
    Best Matrix Screensaver.scr
    Adobe Photoshop 9 full.exe
    Adobe Premiere 9.exe
    Teen Porn 16.jpg.pif
    Microsoft WinXP Crack.exe
  • Темы рассылаемых сообщений выбираются из ниже указанного списка. Чаще всего встречается сообщение о том, что почтовый адрес пользователя деактивирован или закрыт, и пользователю предлагается ознакомиться с подробностями.
    Your mail account expired. Please follow the link to reactivate.
    Your mail account has been closed. Click on the link for further details.
    Your mail account has been deactivated. To reactivate, follow the link.
    Mail account expired
    Mail account closed
    Mail account deactivated
    Your file is attached.
    Please read the attached file.
    Please have a look at the attached file.
    See the attached file for details.
    Here is the file.
    Your document is attached.
    me veja peladinha
    gostaria disso e voce???
    algo a mais falea verdade!!!
    ganhe muita grana
    campanhadafome
    pq nao me liga??
    sinto voce!!
    grana
    Lembra? amor me liga
    Hackers do Brasil
    Medical Labs Exames!!!
    meu telefone liga
    ferias nos E.U.A
    Surto :(
    Vacina contra o HIV!!
    sua conta bancaria zerada
    olha que isso!!!
    parabens!
    te amo!
    Policia SP
    Sua Conta!!
    Boleto Pague
    veja o que tem no zip e me liga receitas de bolo!!
    acrdito que em voce!!!
    promocao de viajens de fim de ano
    tudo sobre voce sabe
    Proposta de emprego!!
    estou doente veja!!!
    me diz o queacha?
    retorna logo isso!!
    arquivo zipado PGP???
    voce passou
    :D!!!
    ve ai logo ta
    AMA!
    AmaVoce
    Abra rapido isso!!!!
    reza de sao tome!!!!.
    veja detalhes!!!.
    encontro voce!
    preenche ai ta bom
    PizzaVeneza!
    vaca
    tetas
    war3!
    AIDS!
    grana
    banco!
    revista lulao!
    imposto jogo!
    loterias
    vips!
    missao
    vadias!
    email
    flipe
    botao
    sampa!!
    contas!!
    zerado
    :(
    criancas!
    brasil!
    lantrocidade
    aqui
    docs
    festa!!
    LINUSTOR
    bingos!
    agua!
    :D
    sorteado!!
    grana!!
    dinheiro!!
    carros!
    voce
    :-)
    ???
    circular
    agradou
    diga
    robos!
    impressao!!
    massas!
    pescaria por kilo
    Sua saude esta bem? morto :)
  • Вложенные в тело письма копии червей могут быть как с одинарным, так и с двойным расширением. Примеры:
  • your_website.pif
    your_product.pif
    your_letter.pif
    your_archive.pif
    your_text.pif
    your_bill.pif
    your_details.pif
    document_word.pif
    document_excel.pif
    my_details.pif
    all_document.pif
    application.pif
    mp3music.pif
    yours.pif
    document_4351.pif
    your_file.pif
    message_details.pif
    your_picture.pif
    document_full.pif
    message_part2.pif
    document.pif
    your_document.pif
    vota!.zip.scr
    aninha gatinha!.zip.scr
    importante!!!!!.zip.scr
    minhavida!.zip.exe
    comoserrico!.zip.scr
    vida!!.zip.scr
    receitas de bolo!!.zip.scr
    celulares!!.zip.scr
    clica ai logo meu.scr
    rede globo tv!.zip.scr
    rocha.scr
    paula!.scr
    Carnaval em Salvador!!.zip.scr
    vadias peladas!!.scr
    cafe!!.zip.scr
    traficoemSP!.scr
    MulataDandoOcujpg.scr
    multas.pif
    caspa.scr
    barrio.scr
    ResidentEvil2.zip.scr
    puteiros!!.scr
    Canaval2004!.jpg.pif
    VivaNaBaia!.scr

  • Не производят рассылку по адресам, которые содержат подстроки:

    abuse
    fbi
    orton
    f-pro
    aspersky
    cafee
    orman
    itdefender
    f-secur
    avp
    spam
    ymantec
    antivi
    icrosoft
    iruslis
    andasoftwa
    skynet
  • Удаляют следующие ключи реестра и все данные в них:
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\KasperskyAV
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Taskmon
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\msgsvr32
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\service
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\OLE
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Sentry
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Windows Services Host HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
      HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
      HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\DELETE ME
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\au.exe
      HKCU\Software\Microsoft\Windows\CurrentVersion\Run\d3dupdate.exe
      HKLM\System\CurrentControlSet\Services\WksPatch

  • Могут содержать в своём теле IP-адреса сайтов немецких, швейцарских и голландских компаний, на которые проводятся DoS-атаки.
  • Могут содержать текстовые строки экспрессивного характера, обращённые к авторам почтовых червей семейств MyDoom и Beagle.
    Например:

    Hey Bagle, feel our revenge!
    MyDoom and Bagle are spammer we are the skynet - you can't hide yourself! - we kill malware writers (they have no chance!) - [LaMeRz-->]MyDoom.F is a thief of our idea! - -< SkyNet AV vs. Malware >- ->->

  • Рекомендации по восстановлению системы

    1. Загрузить ОС Windows в Безопасном режиме (Safe Mode).
    2. Воспользоваться дисковым сканером Dr.Web® либо бесплатной утилитой Dr.Web® CureIT! для сканирования локальных дисков компьютера. Для всех найденных инфицированных файлов необходимо применить действие "Лечить".
    3. Восстановить реестр из резервной копии.

    Важно! Непосредственно перед выполнением п.2 необходимо настроить используемый почтовый клиент таким образом, чтобы он хранил вложения в виде отдельных файлов, а не в теле почтовой базы. Например, хранение вложений отдельно от почтовой базы в почтовом клиенте TheBat! настраивается следующим образом:
    Ящик - Свойства почтового ящика - Файлы и каталоги - Хранить присоединенные файлы в отдельном каталоге (Account - Properties - Files & Directories - Keep attachment files - Separately in a special directory).