Storm Worm

Storm Worm — троянский конь типа Backdoor, заражающий операционные системы семейства Microsoft Windows. Впервые был обнаружен 17 января 2007 года. Распространяется в основном по электронной почте письмом, который имеет заголовок «230 человек погибли в результате разгромивших Европу штормов» (230 dead as stоrm batters Eurоpe), а позже и с другими заголовками. Прикреплённый к письму

    файл содержит вирус, который проделывает в системе компьютера информационную «брешь», используемую для получения данных или рассылки спама. По подсчётам, вредоносной программой Storm Worm было заражено около 10 млн. компьютеров.

## *Схема Работы.*

Вирус рассылает спам на электронную почту с разными заголовками. Один из заголовков («230 dead as storm batters Europe.» что переводится как "230 умерших от Урагана в Европе" ), дал название безымянному вирусу. Использовались и другие заголовки:

* A killer at 11, he's free at 21 and kill again! (Стал убийцей в 11, но сейчас ему 21 и он вновь убивает!)
* U.S. Secretary of State Condoleezza Rice has kicked German Chancellor Angela Merkel ( Госсекретарь США Кондолиза Райс выгнала канцлера Германии Ангелу Меркель)
* British Muslims Genocide (Геноцид британских мусульман)
* Naked teens attack home director.( Голые подростки нападают на домашнего директора.)
* 230 dead as storm batters Europe. [именно из-за этого вирус и получил название.]
* Re: Your text (Re: Ваш текст)
* Radical Muslim drinking enemies's blood.(Радикальные мусульмане пьют кровь врагов.) ((лол,вампиры))
* Chinese/Russian missile shot down Russian/Chinese satellite/aircraft ( Китайско-российская ракета сбила российский / китайский спутник / самолет)
* Saddam Hussein safe and sound!(Саддам Хусейн жив и здоров!)
* Saddam Hussein alive!(Саддам Хусейн жив!) ((цой жив))
* Venezuelan leader: "Let's the War beginning". ( Лидер Венесуэлы: «Война начнется».)
* Fidel Castro dead. (Фидел Кастро умер.)
* If I Knew (Если бы я знал)
* FBI vs. Facebook (ФСБ против Фейсбук)

Когда вложение открывается, вредоносная программа устанавливает службу wincom32 и внедряет полезную нагрузку, передавая пакеты адресатам, закодированным внутри самой вредоносной программы. Согласно Symantec, он также может загружать и запускать троян Trojan.Abwiz.F и червя W32.Mixor.Q@mm. Троянец совмещает спам с такими именами, как postcard.exe и Flash Postcard.exe, с большим количеством изменений по сравнению с исходной волной по мере того, как атака мутирует. Некоторые из известных имен вложений включают:

* Postcard.exe
* ecard.exe
* FullVideo.exe
* Full Story.exe
* Video.exe
* Read More.exe
* FullClip.exe
* GreetingPostcard.exe
* MoreHere.exe
* FlashPostcard.exe
* GreetingCard.exe
* ClickHere.exe
* ReadMore.exe
* FlashPostcard.exe
* FullNews.exe
* NflStatTracker.exe
* ArcadeWorld.exe
* ArcadeWorldGame.exe

Позже, как подтвердил F-Secure, вредоносная программа начала распространять такие темы, как "Love birds"(«Птицы любви») и "Touched by Love"(«Тронутые любовью»). Эти электронные письма содержат ссылки на веб-сайты, на которых размещены некоторые из следующих файлов, которые, как подтверждено, содержат вирус:

* with\_love.exe
* withlove.exe
* love.exe
* frommetoyou.exe
* iheartyou.exe
* fck2008.exe
* fck2009.exe

По словам Джо Стюарта, директора по исследованию вредоносных программ SecureWorks, Storm остается удивительно устойчивым, отчасти потому, что троянский конь, который он использует для заражения систем, меняет свой код упаковки каждые 10 минут, а после установки бот использует fast flux для изменения IP-адреса. адреса для своих командных серверов.

## *Фидбэк.*

Список антивирусных компаний, которые могут обнаружить Storm Worm, включает Authentium, BitDefender, ClamAV, eSafe, Eset, F-Prot, F-Secure, Kaspersky, McAfee, Sophos, Symantec, Trend Micro, avast! и Windows Live OneCare. Storm Worm постоянно обновляется его авторами, чтобы избежать обнаружения антивирусом, поэтому это не означает, что все перечисленные выше поставщики могут обнаруживать все варианты Storm Worm. Система обнаружения вторжений предлагает некоторую защиту от руткита, поскольку может предупреждать, что процесс Windows "services.exe" пытается получить доступ в Интернет через порты 4000 или 7871. Windows 2000, Windows XP и предположительно Windows Vista могут быть заражены всеми варианты Storm Worm, но Windows Server 2003 не может, поскольку автор вредоносной программы специально исключил эту версию Windows из кода. Кроме того, для уровня дешифрования некоторых вариантов требуются функции Windows API, которые доступны только в Windows XP Service Pack 2 и более поздних версиях, что эффективно предотвращает заражение в более старых версиях Windows.

Питер Гутманн отправил электронное письмо, в котором отметил, что ботнет Storm включает от 1 до 10 миллионов компьютеров, в зависимости от того, чьим оценкам вы верите. Хотя доктор Гутманн сравнивает аппаратные ресурсы ботнета Storm и высокопроизводительных компьютеров с распределенной памятью и распределенной общей памятью в TOP500, точные совпадения производительности не входили в его намерения - скорее, это была более общая оценка размера ботнета по сравнению с другими массивными вычислительными ресурсами. Рассмотрим, например, размер ботнета Storm по сравнению с проектами грид-вычислений, такими как World Community Grid.

В статье в PCWorld от 21 октября 2007 года говорится, что аналитик сетевой безопасности представил результаты на хакерской конференции Toorcon в Сан-Диего 20 октября 2007 года, заявив, что количество активных хостов Storm сократилось примерно до 20 000, или примерно одна десятая от своего прежнего размера.Однако это оспаривается исследователем безопасности Брюсом Шнайером, который отмечает, что сеть разделяется с целью независимой продажи частей.