W32/Zafi-B
(16. lipnja 2004.)

Sophos nas je obavijestio o pojačanoj aktivnosti W32/Zafi-B za koji je primio veći broj prijava otkrivanja. Qubis d.o.o. je do sada primio dvije dojave otkrivanja ovog crva u Hrvatskoj. W32/Zafi-B prepoznavat će Sophos Anti-Virus za kolovoz 2004. (v.3.84).

Instalacije svih korisnika koji koriste EMLibrary, Sophosov alat za automatizirano dograđivanje putem Interneta, dograđene su automatski 11. lipnja 2004., kada je objavljena prva verzija ove dogradnje ili nakon toga, ovisno o tome kako je podešena učestalost dograđivanja.

Svim korisnicima preporučujemo da, ako već nisu, svoje programe Sophos Anti-Virus odmah dograde hitnom dogradnjom za prepoznavanje ovog crva, koju možete naći na http://www.sophos.com/downloads/ide/.

Vrsta

Win32 crv

Alias

• I-Worm.Zafi.b
• W32/Zafi.b@MM
• Win32/Zafi.B
• W32.Erkez.B@mm
• PE_ZAFI.B

Način širenja

Širi se elektroničkom poštom (slanjem .EXE datoteke u privitku) i peer-2-peer mrežama. Prema dostupnim podacima ne koristi nijedan sigurnosni propust.

Aktivnosti / Simptomi / Posljedice

Elektronička poruka s inficiranom datotekom može sadržavati sljedeće dijelove:

Kada se aktivira pristigla .EXE datoteka, spremi svoju kopiju u direktorij System32 kao .EXE sa slučajno odabranim nazivom. Provjerom postojanja stranica www.google.com i www.microsoft.com provjerava da li je otvorena veza ka Internetu i nakon toga korištenjem vlastitog SMTP mehanizma šalje svoju kopiju na elektroničke adrese koje pronađe u datotekama s nastavkom HTM, WAB, TXT, DBX, TBB, ASP, PHP, SHT, ADB, MBX, EML and PMR. Elektroničke adrese sprema u direktorij %SystemFolder% u privremenu datoteku slučajnog naziva s nastavkom .DLL.

Procesi / Programi

Pokreće se proces pod nazivom "Link".

Programi Regedit, Task Manager i Task Monitor neće raditi.

Datoteke

Kreira sljedeće datoteke:

• %SystemFolder%\nazivdatoteke1.exe ... Izvršni dio crva
, EXE, veličine oko 12KB
• %SystemFolder%\nazivdatoteke2.dll ... Izvršni dio crva
, DLL, veličine oko 12KB
• %SystemFolder%\nazivdatoteke3.dll ... Popis pronađenih e-adresa

U dijeljeni P2P direktorij (obično 'share' i 'upload') će kopirati inficiranu datoteku pod nazivima:

• winamp 7.0 full_install.exe
• total commander 7.0 full_install.exe

Prema nekim podacima, postoji mogućnost da program ukloni neke od antivirusnih programa s diska.

Registry

Dodaje stavke:

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
  _Hazafibb=%SystemFolder%\nazivdatoteke.exe
• HKLM\Software\Microsoft\_Hazafibb\

Ponekad će prikazati tekst na mađarskom jeziku:

(Prijevod na engleski: "We demand that the government accomodates the homeless, tightens up the penal code and VOTES FOR THE DEATH PENALTY to cut down the increasing crime. Jun. 2004, Pécs (SNAF Team)")

Ostalo

Neprekidno šalje zahtjeve sljedećim web stranicama, pa će u slučaju proširenije infekcije doći do DoS napada

• www.parlament.hu
• www.virusbuster.hu
• www.virushirado.hu
• www.2f.hu

Uklanjanje

Windows 9X klasa:

• preuzmite IDE datoteke sa Sophosovih stranica za trenutno instaliranu inačicu Sophosa

• stavite ih u direktorij u kojem se nalazi Sophos (obično %ProgramFiles%\Sophos Sweep)

• pokrenite računalo u DOS

• programom %ProgramFiles%\Sophos Sweep\sweep.exe provjerite i očistite računalo

Windows NT-klasa:

• preuzmite IDE datoteke sa Sophosovih stranica za trenutno instaliranu inačicu Sophosa

• stavite ih u direktorij u kojem se nalazi Sophos (obično %ProgramFiles%\Sophos Sweep for NT)

• pokrenite računalo u Safe mode with Command prompt

• programom %ProgramFiles%\Sophos Sweep for NT\sav32cli.exe provjerite i očistite računalo

Zaštita od infekcije

• zaštita na poslužiteljima elektroničke pošte

• zabrana slanja/primanja izvršnih datoteka (.exe, .com, .bat, .cmd, ...)

• poduka krajnjih korisnika

Ostalo

• Sophos - Podaci o crvu

Sažetak svojstava