Tietoturvayhtiö Panda Software varoittaa kahdesta uudesta viruksesta. Sekä Explorezip-viruksen N-versio että Lirva-virus luokitellaan kuitenkin vaarallisuusluokkaan erittäin heikko.
W32/Explorezip-virus
W32/Explorezip -viruksen N-versio käyttää MS Outlook-, MS Outlook Express- ja MS Exchange-sähköpostiohjelmien MAPI -komentoja.
Aktivoiduttuaan virus lähettää itsensä kaikkiin Outlookissa oleviin osoitteisiin sekä saapuneet kansioissa oleviin lukemattomiin viesteihin. Tämä ominaisuus saattaa harhauttaa vastausviestin vastaanottajaa avaamaan liitetiedoston jolloin virus aktivoituu.
W32/Explorezip.N muuttaa saastuttamansa tietokoneen tiedostot kokoon 0, jolloin ne näyttävät tyhjiltä tai poistetuilta. Tämän toiminnon se suorittaa puolen tunnin välein.
Verkkoympäristössä levitessään virus etsii pääsyä Windowsin hakemistoon ja löytäessään sen kopioi itsensä sekä muuttaa WIN.INI -tiedostoja.
W32/Explorezip löydettiin ensimmäisen kerran vuonna 1999 ja se levisi nopeasti yrityksiin eri puolille maailmaa aiheuttaen suuria vahinkoja.
Panda Software luokittelee W32/Explorezip.N:n "erittäin heikko" vaarallisuusluokkaan.
Viruksen sisältämän sähköpostin teksti:
Hi !
I recevied your email and I shall send you a reply ASAP.
Till then, take a look at the attached zipped docs.
Sincerely.
Goat
liite on nimeltään zipped_exe ja se on pakattu UPX:llä, ja se on kooltaan 91,048 tavua.
W32/Lirva-virus
Lirva-virus on useilla eri tavoilla leviävä mato. Lirva voi levitä mm. sähköpostitse, KaZaA-tiedotovaihdon välityksellä ja ladattavien tiedostojen mukana.
Varsinaisia tuho-ominaisuuksia Lirva-viruksesta ei ole löydetty, mutta se pysäyttää työasemalla monia prosesseja, jolloin pysäytettävät prosessit saattavat olla myös antivirus tai palomuuriohjelmistoja. Näin viruksen aktivoiduttua työasema saattaa olla suojaton viruksia sekä tunkeutujia vastaan.
Viestin sisältö käyttää hyväkseen niin sanottua Social engineering -tekniikkaa houkuttelemalla avaamaan liitetiedoston Avril Lavignea koskevien tietojen ja kuvien toivossa. Avril Lavigne on varsinkin nuorison suosiossa oleva muusikko.
Lirvan luoman virusviestin otsikot, tekstit, liitetiedostojen nimet sekä aiheet saattavat vaihdella satunnaisesti. Tästä syystä on viruksen kirjoittaja voinut liittää mukaan myös muita aihealueita houkuttamaan liitetiedoston avaamista mm. lupaamalla Microsoftin päivityksiä.
Lirva käyttää hyväkseen Explorerista löydettyjä heikkouksia ja pystyy täten aktivoitumaan suoraan viestin esikatselusta ilman viestin avaamista. Heikkoudet ovat Explorerin versioissa 5.01 ja 5.5.
Aktivoiduttuaan työasemalla Lirva lähettää itsensä jokaiseen Microsoft Outlookissa olevaan osoitteeseen.
Viestin otsikko, teksti sekä liitetiedoston nimi sekä sisältö vaihtelevat:
Otsikko voi olla joku alla olevista:
Fw: Prohibited customers...
Re: Brigade Ocho Free membership
Re: According to Daos Summit
Fw: Avril Lavigne - the best
Re: Reply on account for IIS-Security
Re: ACTR/ACCELS Transcriptions
Re: The real estate plunger
Fwd: Re: Admission procedure
Re: Reply on account for IFRAME-Security breach
Fwd: Re: Reply on account for Incorrect MIME-header
Viestin teksti ja liitetiedoston nimi saattavat myös vaihdella:
AVRILLAVIGNE.EXE
AVRILSMILES.EXE
CERT-VULN-INFO.EXE
COGITO_ERGO_SUM.EXE
COMPLICATED.EXE
DOWNLOAD.EXE
IAMWITHYOU.EXE
MSO-PATCH-0035.EXE
MSO-PATCH-0071.EXE
README.EXE
RESUME.EXE
SINGLES.EXE
SK8ERBOI.EXE
SOPHOS.EXE
TRANSCRIPTS.EXE
TWO-UP-SECRETLY.EXE
W32/Lirva on kirjoitettu MS Visual C++ -ohjelmointikielellä (versio 6). Tiedosto joka sisältää viruksen on pakattu käyttäen UPX:ää ja tiedoston koko on 32,766 tavua. Purettuna tiedoston koko on 77,824 tavua.
Panda Software luokittelee W32/Lirva:n "erittäin heikko" vaarallisuusluokkaan.