Helló mindenki, 2012 május 4-e van.
és itt az idő egy újabb évfordulós malware videónak.
Ma a hírhedt Love Letter férget vizsgáljuk meg 2000-ből, 12 évvel ezelőttről.
Tehát ma van 12 éve, hogy a program elkezdte a pusztítását
és hatalmas kárt okozott a világon mindenütt,
ami körülbelül 5,5 milliárd dollárnak felel meg.
a viszonylag romboló természetének köszönhetően,
illetve azért, mert könnyen módosíthatta akárki.
Tehát,
ahogy látjátok, "LOVE LETTER FOR YOU.TXT" néven
érkezik meg, email szolgáltatáson kereszül.
Első látszatra egy baráttól jön a levél,
ugyanis az Outlook címeidet használja, hogy elküldje magát...
szóval valamennyire bíznál ebben a levélben,
kíváncsi volnál, hogy a barátod miért
vallja be szerelmét neked.
De ha belenézel, ez igazából csak maga a féreg,
ami puszta szövegként jelenik meg, nincs titkosítva, vagy ilyesmi.
És ha megváltoztatjuk az alapértelmezett Windows beállításokat, ami az ismert fájltípusok elrejtése,
láthatod, hogy .VBS a vége, nem pedig .TXT, tehát ez egy Visual Basic szkript.
Itt van néhány tesztfájl, amiket az
eredeti program újraír:
egy JPEG fájl, egy kép a FreeSpace 2 játékból,
egy MP3 a Descent 1-ből.
Nagyon menő.
Aztán még egy HTA fájl "Helló Világ!",
egy VBS szkript "Helló Világ!".
Egy üres VBE fájl.
Ki kéne törölni a .TXT kiterjesztést. Nem csinál semmit.
Illetve egy másik üres JavaScript fájl ami szintén nem csinál semmit.
Szóval, indítsuk el a férget
és nézzük, mi történik.
Ahogy látjátok, azonnal elküldte magát az ismerőseidnek.
A levél tárgya "ILOVEYOU"
"kérlek olvasd el a csatolt SZERELMESLEVELET tőlem"
és ugyanez a levél ment mindenki másnak is.
Szóval, elküldi magát minden egyes ismerősödnek, akinek el van mentve az email címe
ami lehetővé tette, hogy gyorsan terjedjen
és amíg ezt csinálja, nos...
lehet ki kéne kapcsolni a megosztott mappákat a virtuális PC-n,
hogy ne írja felül az összes megosztott fájlomat.
Jó ötlet.
Szóval,
elég sokat felülírt ezek közül,
kivéve a VBE fájlt valami oknál fogva.
Az MP3 fájlunk maga a féreg lett.
.MP3, .VBS, .JPEG, .VBS,
A .JS fájlnál még a kiterjesztést sem hagyta meg a címében, csak felülírta.
Test VBS.VBS
Megint csak a féreg.
Látni fogjuk, hogy sikerült pár fájlt bedobnia a System mappába is.
Szerintem ha észrevesz valaki egy "SZERELMESLEVÉL NEKED.TXT.VBS"
nevű fájlt a Windows rendszermappában,
egész biztos, hogy az nem egy szerelmeslevél.
De ez csak az én teóriám.
És ha frissítjük a Windows mappát,
ide is bemásolta magát.
Ha kicsitt jobban legörgetünk...
Hol van?... Na.
132.DLL.VBS, szintén a féreg.
Szóval elég sok helyre bemásolja magát a map... a számítógépeden.
És ha engedélyezzük a rejtett fájlokat, igazából nem is írta felül az MP3-akat
a többi map... fájlal ellentétben.
Elnézést.
Az eredeti MP3-at csupán elrejtette.
Továbbra is le tudod játszani, meg minden. A zenéid biztonságban vannak.
Csupán felülírta a fájl nevét
és elrejtette az eredetit.
Ezt viszont tudnod kell, ha vissza akarod kapni őket,
azonban az összes többi fájl, amit felülírt, elveszett.
Szóval...
Nem tudom miért fagyott le a kurzor, de nem baj.
Annak köszönhetően, hogy könnyen lehet módosítani,
Eléggé meg tudsz rajta sokmindent változtatni
és emiatt többszáz változata volt ennek a vírusnak.
Akár mégpusztítóbbá is tehetjük azzal, hogy a felülírandó fájltípusoknál a .JS-t átírjuk .EXE-re.
vagy a .JSE-t .COM-ra.
így azok a fájlok lesznek felülírva.
Látni a kódban, hogy az mIRC-n kereszül is terjed.
és ha legörgetünk,
itt is van az email algoritmus.
Megváltoztathatjuk, hogy mit írjon a levélbe, pl.: "ez egy féreg."
Szóval ha ezt újra futtatjuk,
felül fogja írni mindezeket a fájlokat is.
Ha frissítünk, látjuk, hogy el is kezdődött.
Igen, látni, hogy elég sok VBS fájl került
a System mappába.
Az újraindítás valószínűleg rossz ötlet ezen a ponton,
De hol lenne a móka ezekben a videókban, ha nem tennénk?
Szóval indítsuk újra a gépet...
És nem kéne, hogy bootoljon.
Ha egyáltalán újraindul... na.
És... nem!
Mindent felülírt, és nem fog bootolni.
Szóval újra kellene telepítened a Windowst, ha egy ehhez hasonló variánst kapnál,
nagyon káros is tud ez a program lenni.
Ennyit a Love Letter féregről a tizenkettedik évfordulóján.