Вирус Sircam зло или......

		на сайте		на Народ.Ру		на Яндексе

Дорогой посетитель!

Возможно Вам пришло письмо от незнакомого Вам человека с приложенным файлом с двойным расширением (подробно см. ниже) - скорее всего это новый вирус Sircam.
Чтобы не заразить им свой компьютер - не открывайте этот приложенный файл !!!
Этот вирус берет какой-нибудь файл с зараженного им компьютера и пересылает его по всем адресам электронной почты, которые найдет в этой машине , даже те , которые находились на посещенных его владельцем страницах (возможно Вы так и стали получателем письма с этим "червяком")

Но, если Вы любопытны, знаете как копатся в регистре Windows, а файл в письме Вам хотелось бы прочесть, так как он, например, называется Секретная_информация.doc.pif

Что надо для этого сделать:
Внимание! Проверено на Windows 95, почтовый клиент The Bat!
Автор не несет ответственность за то, что у Вас что-то не получится.
Прочтите внимательно всю информацию на этой странице, а лучше сохраните ее или распечатайте для справок

1.Откройте файл
Внимание! Ваш компьютер будет заражен Не перезагружайте Ваш компьютер на этой стадии во избежании осложнений.
2. Обеззараженая версия этого файла находится теперь у Вас в директории WINDOWS в папке TEMP
3. Лечите Ваш компьютер антивирусной программой (рекомендуем AVP www.kaspersky.ru )
Внимание! Некоторые программы удаляют сам вирус, но не отменяют внесенных им изменений в реестр Windows.
В этом случае кликните зараженный файл еще раз, затем вручную выправьте реестр (см. ниже)
потом еще раз лечите Вашей программой или удаляйте файлы вручную.

4. Лучше вручную:

Удалите следующие ключи реестра:
в секции автоматического запуска программ системного реестра Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Driver32 = %windows sytem directory%\SCam32.exe

HKCR\exefile\shell\open\command
SirC32.exe

А затем, используя программу типа Нортона или FAR удалите файлы:

Директории \RECYCLED и \WINDOWS под именем SirC32.exe, например:
C:\WINDOWS\
C:\RECYCLED\SirC32.exe
Системная директория (\SYSTEM)Windows под именем SCam32.exe.
Директория Windows под именем ScMx32.exe.
Директория автоматического запуска Windows под именем "Microsoft Internet Office.exe".
В системной директории Windows:
SCD.DLL - содержит список файлов "ext1"
SCH1.DLL, SCI1.DLL - содержат списки адресов электронной почты, найденных в сканированных файлах
Также червь может создавать файлы SCT1.DLL и SCY1.DLL в системной директории Windows, в которых хранит дополнительную служебную информацию.

5. Теперь, можете смело открывать файл, который находится теперь у Вас в директории WINDOWS в папке TEMP

Автор не несет ответственность за то, что у Вас что-то не получится.

У меня все получилось.
Развлекаюсь теперь чтением инвестиционных планов компаний и их отчетами и т.п.

Описание вируса Sircam
взято с сайта www.kaspersky.ru

Опасный сетевой червь, распространяющийся по сети Интернет и ресурсам локальных вычислительных сетей. Файл-носитель червя представляет собой Windows-приложение, размером около 130 Кб, написанное на языке программирования Delphi. В процессе распространения червь может прикреплять к своим файлам дополнительные файлы DOC, XLS, ZIP и других форматов (см. ниже), так что размер вложенного файла может превышать 130 Кб.

После запуска (например, двойным щелчком на вложенном зараженном файле), червь внедряется в систему, рассылает зараженные сообщения (содержащие вложенные файлы с копией червя), заражает компьютеры, подключенные к доступной ЛВС (если в сети существуют диски, доступные для записи), а также, в зависимости от системной даты, выполняет встроенную деструктивную процедуру.

Распространение по электронной почте

Червь рассылает себя с зараженных компьютеров в виде файлов, вложенных в письма электронной почты, которые имеют случайное имя и двойное расширение:

filename.ext1.ext2
Расширение "ext1" может быть любым из следующих вариантов: DOC, XLS, ZIP, EXE. Расширение "ext2" также случайно выбирается из PIF, LNK, BAT, COM. Таким образом, имена вложенных файлов могут выглядеть так:
feb01.xls.pif
normas.doc.bat
"filename.ext1" является "настоящим" именем реального файла, присутствующего в зараженной системе. Червь при рассылке зараженных писем ищет файлы с расширениями "ext1" (см. выше), и использует полное имя файла как имя зараженного вложения. Т.е. если на диске присутствует файл MYFILE.DOC, и если червь использует именно этот файл при рассылке зараженных писем, то имя файла-вложения будет одним из следующих вариантов:
MYFILE.DOC.PIF
MYFILE.DOC.LNK
MYFILE.DOC.BAT
MYFILE.DOC.COM
Затем червь берет этот файл (в данном случае MYFILE.DOC), прикрепляет его к своему EXE-телу (дописывает этот файл в конец своего файла) и вкладывает результат в отсылаемое письмо. Т.е. отсылаемые (зараженные) письма содержат вложение, которое состоит из двух частей: 1. EXE-код червя; 2. присоединенный DOC,XLS,ZIP или EXE-файл. Этот присоединенный файл затем используется червем для того, чтобы скрыть факт заражения компьютера (см. ниже - файл-приманка).

В качестве побочного эффекта такого способа распространения может стать утечка с зараженного компьютера конфиденциальной информации.

Строка "Тема" рассылаемых червем писем содержит имя вложенного файла. Тело письма может быть написано в двух языках: английском и испанском. Первая и последняя строки письма всегда одни и те же:

первая строка:
английский вариант: Hi! How are you?
испанский вариант: Hola como estas ?

последняя строка:
английский вариант: See you later. Thanks
испанский вариант: Nos vemos pronto, gracias.
Между этими строками червь в случайном порядке вставляет следующий текст:
английский вариант:
I send you this file in order to have your advice
I hope you can help me with this file that I send
I hope you like the file that I sendo you
This is the file with the information that you ask for
испанский вариант:
Te mando este archivo para que me des tu punto de vista
Espero me puedas ayudar con el archivo que te mando
Espero te guste este archivo que te mando
Este es el archivo con la informaciуn que me pediste
С целью получения адресов электронной почты для последующей рассылки им своих копий, червь сканирует файлы SHO*, GET*, HOT*, *.HTM, *WAB, и некоторые другие. Результаты сканирования затем сохраняются в специальных DLL файлах в системной директории Windows:
SCD.DLL - содержит список файлов "ext1"
SCH1.DLL, SCI1.DLL - содержат списки адресов электронной почты, найденных в сканированных файлах
Также червь может создавать файлы SCT1.DLL и SCY1.DLL в системной директории Windows, в которых хранит дополнительную служебную информацию.

Внедрение в систему

Червь копирует свои файлы в следующие директории:

Директории \RECYCLED и \WINDOWS под именем SirC32.exe, например:
C:\WINDOWS\
C:\RECYCLED\SirC32.exe
Системная директория Windows под именем SCam32.exe.
Директория Windows под именем ScMx32.exe.
Директория автоматического запуска Windows под именем "Microsoft Internet Office.exe".

Важно отметить, что не все эти действия червь выполняет только при первоначальном запуске. Некоторые из файлов создаются только при определенных условиях позднее.

Системные атрибуты всех перечисленных выше файлов имеют флаг "Hidden" ("Скрытый").

Первые два файла червь регистрирует в секции автоматического запуска программ системного реестра Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Driver32 = %windows sytem directory%\SCam32.exe

HKCR\exefile\shell\open\command
SirC32.exe
После этого червь создает дополнительный файл-приманку (см. выше) во временной директории Windows, причем данный файл имеет имя в соответствии с шаблоном "filename.ext1". Затем червь пытается открыть данный файл при помощи программ WINWORD.EXE, WORDPAD.EXE, EXCEL.EXE или WINZIP.EXE (в зависимости от расширения "ext1").

Червь также создает дополнительный ключ "HKLM\SOFTWARE\SirCam" в системном реестре Windows, где хранит свою служебную информацию.

Распространение по сетевым ресурсам

Для распространения по локальной сети червь сканирует все доступные сетевые ресурсы (ищет доступные директории на удаленных компьютерах) и копирует туда свои файлы. В случае обнаружения на удаленном компьютере директории "\recycled", червь записывает себя в нее под именем SirC32.exe:

\recycled\SirC32.exe
После этого червь модифицирует файл AUTOEXEC.BAT, добавляя в него следующую команду:
@win \recycled\SirC32.exe

Если на компьютере имеется директория "\Windows", то червь изменяет имя системного файла RUNDLL32.EXE на RUN32.EXE, а на место RUNDLL32.EXE записывает свою копию. Как указывалось выше, все копии червя имеют атрибут "Hidden" ("Скрытый").

Деструктивные процедуры

В зависимости от текущей системной даты и времени, червь с вероятностью 5% удаляет все файлы и поддиректории в директории Windows.

При каждой загрузке операционной системы с вероятностью 2% червь создает файл SirCam.Sys в корневой директории текущего диска и записывает в него следующий текст:

С каждым разом червь добавляет этот файл, тем самым постепенно поглощая свободное место на диске. Эти и многие другие текстовые строки в теле червя содержатся в зашифрованом виде.