🚀 go-pugleaf

Hallo,

> Ich vermute, dass diese Viren nicht den Text und die Empfängerliste 
> eingebaut haben, denn so würden sie mehrere MB gross, oder der Text wäre 
> immer derselbe.
> Also müssen die Dinger die Listen doch irgendwoher laden.

Eine Liste haben die Viren definitv nicht bei sich, obwohl sie meist mit sowas wie
UPX[1] gepackt sind.

Manchmal ist der Text dabei (bzw, 3-4 versionen) und sie suchen sich empfänger auf dem befallenen PC.

Dort findet sich immer einiges an Adressen (oder zeugs, welches so ausschaut, z.B. Message-IDs *g*)


Falls der Text nicht dabei ist, wird er später geliefert:

Im billigsten Fall öffnen sie einfach einen Port auf dem befallenen PC:
So kann jener als Proxy für alles verwendet werden.

(Manchmal sinds normale HTTP Proxys, mit CONNECT, manchmal ein eigenes, proprietäres Protokoll ;) )


Damit der Programmierer auch seine Zombies findet, melden die sich bei ihm, z.B. über ICQ..
oder (noch besser), sie joinen einem IRC Channel.

Darüber lassen sich dann die Zombies prima fernsteuern.

(Es gibt auch Trojaner, welche sich anweisungen/updates via HTTP/FTP saugen)


Danach wartet er auf einen Spamauftrag und bläst sein zeug über die kisten raus.


> Ist da nicht schon längst abgeklärt, woher das geladen wird und diese Server 
> ausgeschaltet?

'diese' Server abzuschalten ist etwas schwierig.
Wenns gut gemacht ist, gibt es da einige Server:

Meist irgendwelche gehackten kisten aus $IRGENDWO


Gruss,
 Adrian


1: http://upx.sourceforge.net/