Алексей Андреев

В среду в Рунете началась эпидемия интернет-червя Aliz, который распространяется по электронной почте и активизируется без участия пользователя даже при предварительном просмотре писем.

Вирус приходит как вложение к электронному письму. Зараженные письма могут иметь различные заголовки – текст заголовка генерируется из группы примерно в 50 слов. Обычно это выглядит как предложение посмотереть какой-то сайт (“Fw: funky url to see :-)” или “Fw: Re: Great shit – check it!!”)

Однако письма с вирусом отличает похожее содержание: это пустое HTML-письмо и вложенная вредоносная программа whatever.exe, которая является приложением Windows (PE EXE-файл).

Вирус написан на ассемблере и имеет размер всего около 4K. Для запуска себя из зараженных писем червь использует брешь в системе безопасности почтового клиента (IFRAME), которую использовал интернет-червь “Nimda”. При этом зараженное вложение активизируется само при чтении или предварительном просмотре сообщения.

При активизации червь распаковывает свой основной код и передает на него управление. Данный код затем считывает адреса электронной почты из файла адресной книги WAB (Windows Address Book), подключается к зарегистрированному в системе SMTP-серверу, отсылает зараженные письма по найденным адресам и на этом заканчивает свою работу. Использование вирусом файла Windows Address Book указывает на то, что он особенно опасен для пользователей Outlook Express и других почтовых программ под Microsoft Windows.

Как сообщает “Лаборатория Касперского“, процедура отсылки зараженных писем содержит неточности, в результате чего червь “оказывается неработоспособным на большинстве конфигураций почтовых клиентов и серверов”. Тем не менее, редакция “Нетоскопа” за последние два дня получила уже десятки зараженных писем от своих корреспондентов, а также через списки рассылки, зараженные вирусом. Зараженные письма приходят от таких известных деятелей Рунета, как Андрей Себрант и Ирина Иванова, а также из агентства “Интерфакс”.

Вирус Aliz был обнаружен еще в мае. Тогда же он был добавлен в базы данных Антивируса Касперского.

“Удивительно, что вирус смог вызвать серьезную эпидемию спустя полгода после его обнаружения. Причина проста: пользователи по-прежнему игнорируют элементарные правила компьютерной безопасности и с завидным упорством наступают на одни и те же грабли. Видимо, многочисленные вирусные эпидемии пока так и не научили простым правилам – быть предельно осторожными с электронной корреспонденцией и вовремя устанавливать “заплатки”, устраняющие бреши в защите данных используемых программ”, – комментирует Евгений Касперский.

Остается только добавить, что в данном случае пользователям еще повезло: кроме рассылки самого себя по найденным на компьютере адресам, червь Aliz никак больше не проявляет своего присутствия в системе. Он не инсталлирует себя в систему и не запускается повторно (за исключением случаев, когда пользователь повторно открывает зараженное вложение). Однако легко представить себе появление новых модификаций, которые могут содержать и более вредоносные функции – как, например, у вируса SirCam, который при рассылке самого себя еще и “прихватывает” крупные файлы с зараженного компьютера.

ССЫЛКИ ПО ТЕМЕ

Aliz: вторая попытка – Лаборатория Касперского, 21.11.01

МАТЕРИАЛЫ ПО ТЕМЕ

Первый DVD-вирус подцепили крутые девчонки – 02.11.01


Червь “бен Ладен” поразил Корею – 24.10.01


Черви Redesi сотрут жесткие диски 11 ноября – 19.10.01


“Лаборатория Касперского”: активация SirCam отменяется – 16.10.01


Новый троян прикидывается антивирусом против Nimda – 03.10.01


Червь Nimda снова атакует в пятницу – 28.09.01


Скачай утилиту против Nimda – 24.09.01


Вирус Nimda поражает и домашние компьютеры, и серверы – 19.09.01


Новая мутация CodeRed распространяет троянов – 06.08.01


SirCam добрался до ФБР и украл секретные документы – 26.07.01


Вирус-шпион SirCam – чемпион по рассылке секретных файлов – 25.07.01