Вирус порази милиони компютри

Нов ботнет от милиони компютри засече антивирусната компания Доктор Уеб. Вирусът Win32.Rmnet.12 заразява РС с Windows, като изпълнява функциите на бекдор – краде пароли от популярни FTP клиенти, които могат да се използват за организация на мрежови атаки или заразяване на сайтове.

На базата на указания от отдалечен център, Win32.Rmnet.12 може да издаде дори команда за унищожаване на операционната система.

Вирусът прониква в компютрите по различни пътища – чрез инфектирани флаш памети, заразени изпълними файлове и с помощта на специални скриптове, интегрирани в html документи, които заразяват компютъра при отваряне на уеб страници в прозореца на уеб браузъра.

Win32.Rmnet.12 е сложен файлов вирус с много компоненти, способен да се саморазмножава, като копира сам себе си и се разпространява безконтролно, без участие на потребителя.

Пуснат в операционната система, Win32.Rmnet.12 проверява кой браузър е инсталиран по подразбиране (ако такъв не е открит, вирусът избира Internet Explorer) и се вгражда в процесите на браузъра.

Генерирайки име на собствения си файл на основата на серийния номер на твърдия диск, вирусът се съхранява в папката за автоматично зареждане на текущия потребител и установява атрибут „скрит". В същата папка се съхранява и конфигурационният файл, в който се записват необходимите за работата на вируса данни.

След това, на базата на заложения в него алгоритъм, вирусът определя името на управляващия сървър и се опитва да установи връзка.

Разпространението на вируса става на първо място през уязвимост на браузъра, която позволява съхраняване и пускане на изпълними файлове при отваряне на уеб страници. Вирусът търси всички съхранени на диска html файлове и добавя в тях код на езика VBScript.

Освен това Win32.Rmnet.12 инфектира всички открити на диска изпълними файлове с разширение .exe и може да се копира на сменяеми флаш устройства, като съхранява в основната директория файл за автоматично стартиране и етикет, водещ към зловредно приложение, което на свой ред пуска вируса.

По данни към 15 април, ботнетът на Win32.Rmnet.12 се състои от 1 400 520 заразени възела и продължава да се разраства.