Ленка Виноградова

ZDNet News в четверг сообщил о распространении почтового червя Redesi. Вредоносная программа маскируется под “заплатку” для программных продуктов Microsoft. Она распространяется по электронной почте и 11 ноября сотрет все данные с винчестеров зараженных компьютеров.

По данным специалистов, у Redesi есть и второй вариант – обычное мусорное письмо. В первом варианте заголовок зараженного письма в той или иной форме гласит, что это форвард письма с темой Microsoft security update. Также в некоторых случаях упоминаются террористы, которые распространяют вирусы и которых надо остановить.

Полный список тем писем с первым вариантом вируса:

FW: Microsoft security update
FW: Security Update by Microsoft
FW: IT departments on state of HIGH ALERT
FW: Important news from Microsoft
FW: Stop terrorists computer viruses reign
FW: Terrorists release computer virus
FW: Emergency response from Microsoft Corp. FW: Terrorist Emergency. Latest virus can wipe disk in minutes
FW: Microsoft Update. Final Release Candidate
FW: New computer virus

В теле письма содержится сообщение на английском языке о том, что “я посылал этот патч по электронной почте в компанию Microsoft и там подтвердили, что он настоящий”. Затем следует “оригинальное” письмо, якобы из службы поддержки Microsoft, в котором говорится, что компания работает над уменьшением электронных посланий, распространяющих вирусы, и предлагает поставить этот патч на компьютер. Подпись – “служба поддержки Microsoft”.

После запуска червь копирует себя в следующие файлы:
C:\Si.exe
C:\ReDe.exe
c:\Disk.exe
c:\Common.exe
c:\UserConf.exe

Затем червь рассылает себя по всем адресам из адресной книги Outlook. Если на компьютере-“жертве” Outlook отсутствует, червь не сможет распространяться. Из списка заражаемых файлов выбирается аттач к письму с копией червя.
11 ноября 2001 года, если на компьютере установлен формат короткой даты dd/mm/yy или mm/dd/yy, червь записывает в файл autoexec.bat команду форматирования диска c:.

Для того, чтобы запускаться с Windows автоматически, червь записывает в реестр следующий ключ: HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Rede.

Вторая версия содержит сообщение совсем другого характера. Вот список тем:

Kev Gives great orgasms to ladeez!! — Kev
hell is coming for u, u will be sucked into a bottomless pit!!! — Gaz
Scientists have found traces of the HIV virus in cows milk…here is the proof — Will
Yay. I caught a fish — Six
I don’t want to write anything but Si is bullying me. — Jim
I want to live in a wooden house — Arwel
Michelle still owes me г10 … shit ! — Si
Why have I only got cheese and onion crisps? I hate them !! — Si
A new type of Lager / Weed variant…… sorted !
My dad not caring about my exam results — by Michelle

Текст письма гласит: heh. I tell ya this is nuts ! You gotta check it out !

Обе версии вируса в равной степени опасны, сообщает “Лаборатория Касперского“. Особо уязвимыми для них являются только те компьютеры, на которых стоят операционные системы Windows старших версий, использующие файл autoexec.bat. Только они могут пострадать 11 ноября, когда червь решит стереть информацию на жестком диске компьютера. Windows 2000 и Windows XP не пострадают. Однако любой компьютер, на котором стоит почтовый клиент Outlook, может заразить другие компьютеры.

Защитить компьютер от форматирования можно довольно легко: необходимо только исправить формат представления даты с короткого (11/11/01) на полный (11/11/2001). При этом вирус никогда больше не активируется.

ССЫЛКИ ПО ТЕМЕ

Описание червя Redesi на сайте “Лаборатории Касперского”

‘Redesi’ worm reformats hard drives – ZDNet News, 18.10.01

МАТЕРИАЛЫ ПО ТЕМЕ

Два воронежца заразили троянцем атомную станцию – 18.10.01


Сибирская язва заражает компьютеры – 17.10.01


“Лаборатория Касперского”: активация SirCam отменяется – 16.10.01


Во вторник SirCam почистит жесткие диски – 15.10.01


Вирус WTC.exe нападает на жесткие диски – 25.09.01


В 2013 году вирусы доедят остатки Интернета – 25.09.01


Вирус Nimda поражает и домашние компьютеры, и серверы – 19.09.01


Новая мутация CodeRed распространяет троянов – 06.08.01


Червь-трансформер SirCam хитер, вооружен и очень опасен – 20.07.01


Новый троян рассылает рекламный спам – 05.07.01


Новый интернет-червь переписывается с Гейтсом – 09.06.01


Программа поиска пары для одиноких оказалась вирусом – 19.04.01


Червь “Анна Курникова”: пришел, увидел и … ушел – 13.02.01


Главным разносчиком “заразы” в 2000 году признана электронная почта – 18.12.00


Самым разрушительным вирусом 2000 года оказался малоизвестный почтовый червь – 14.12.00


Крупные компании поражает вирус для дураков – 13.11.00


Новый вирус: Пикачу в аттаче – 24.08.00