Мощных эпидемий массового заражения компьютерными вирусами Череповец не знал с 1999 года, после того, когда долгое время маскировавшийся вирус "Чернобыль" 26 апреля вдруг "вырвался на волю" и буквально снес "к чертовой матери" содержимое файлов чуть ли не у половины череповецких компьютеров.
После этого все мы стали очень щепетильны и последующие массовые заражения компьютеров, типа пресловутого вируса "I lo-e you", прошли мимо нас стороной.
Однако нынче опять все не так. Во вторник и среду лично ко мне почти с десятка знакомых мне почтовых адресов стали поступать весьма подозрительные отправления. Странность и главное их отличие от типичных "вирусовых" писем заключалась не только в том, что они поступали с известных адресов, владельцы которых состоят со мной в тесной переписке.
Сомнение в том, что эти письма выглядели как обыкновенные деловые послания, но написанные на английском языке:
"Hi! How are you?
I send you this file in order to ha-e your ad-ice
See you later. еhanks"
Вроде все по делу. И если бы не избыточная англоязычная лексика, я, пожалуй бы, такое письмо вскрыл. Остановило только одна-единственная мысль: "Зачем русским адресатам слать мне англоязычные послания?" Им, к сожалению (среди адресатов значилась и одна череповецкая фирма активно торгующая металлом с Западом), это странным не показалось.
Я попытался навести справки у адресатов о возможном характере посланий, но никакого ответа не последовало. Когда письма посыпались десятками стало ясно, что на другом конце Сети произошла какая то компьютерная трагедия. Еще одной неприятной особенностью посланий оказался объем вложенных в эти письма файлов - чуть ли не до 1 мегабайта. И главное - размер вложенных файлов и их название в каждом случае было совершенно разным.
Слава Всевышнему в Интернет ответ на мое недоумение уже существовал.
Сайт "Лаборатории Касперского" сообщал, что до наших пенатов докатилась эпидемия жестокого и коварного сетевого червя SirCam, который всего за 6 дней с момента обнаружения (18 июля) распространился по всему миру и прочно занял первое место в списке наиболее распространенных вредоносных программ.
Оказывается этот вирус, жертвой которого я чуть не стал, распространяется по электронной почте в виде прикрепленного файла со случайным именем и двойным расширением. Оба расширения также выбираются вирусом случайно из набора: для первого расширения - .doc., .xls., .zip., ,exe., для второго расширения - .pif, .lnk, .bat, .com. Таким образом, прикрепленные файлы могут выглядеть по-разному. Например, так: feb01.xls.pif или normas.doc.bat.
При этом feb01.xls, normas.doc или любое другое "имя_файла.расширение" являются именами реальных файлов, украденных вирусом с предыдущего зараженного компьютера. При распространении червь берет реально существующий на компьютере файл с одним из указанных расширений и, присоединяя к нему свой код, отсылает полученный результат по всем найденным в адресной книге адресам. "Захваченный" файл превращается в "приманку", маскирующую действия вредоносной программы. Попав на новый компьютер, вирус пытается открыть "приманку" при помощи соответствующей программы (WinWord, например). В поле "Тема" зараженного сообщения содержится имя файла, украденного с зараженного компьютера.
Таким образом, у подобного способа маскировки и распространения появляется и еще один побочный отрицательный эффект - возможность утечки с зараженного компьютера секретной информации, содержащейся в украденных файлах данных форматов. Что, кстати, и, по всей видимости, произошло по крайней мере с рядом известных череповецких фирм. Для примера того, какого рода информация может "утечь", сетевой журнал "Нетоскоп" привел несколько названий файлов, присланных за два дня выпускающему редактору "Нетоскопа" с различных зараженных компьютеров: "Трудности разработки законодательства", "Competitie Intelligence", "ДОГОВОР на оказание услуг", "Manual to negotiate with girl". Коллеги-журналисты сообщают о получении таким же путем "ОТЧЕТОВ О ДЕНЕЖНЫХ СРЕДСТВАХ" и других ценных документов "с цифрами, адресами и явками".
Как сообщает "Лаборатория Касперского", вирус написан на языке Delphi, живет в среде Win32. Компания Symantec оценила его в 4 бала по пятибалльной шкале. Пока он не нанес серьезного ущерба, однако на кое-какие деструктивные действия он все же способен: в зависимости от текущей даты и времени, вирус с вероятностью 5 процентов удаляет все файлы и поддиректории в директории Windows (по другим данным, таймер удаления настроен на конкретное число 16 октября).
С вероятностью 2 процента при каждой загрузке компьютера червь создает файл SirCam.Sys в корневом каталоге текущего диска и записывает в него текст, из которого можно понять, что червь создан в Мексике. Каждая такая запись отнимает все больше и больше места.
