Prema sinoćnjem izvještaju o virusnim aktivnostima tvrtke Trend Micro za Hrvatsku i okolne zemlje, najkritičnija su dva crva:

1. WORM_BAGLE.X

http://hr.trendmicro-europe.com/enterprise/security_info/virus_encyclopedia.php?s=1&VName=WORM_BAGLE.X

2. WORM_NETSKY.Y

http://hr.trendmicro-europe.com/enterprise/security_info/virus_encyclopedia.php?s=1&VName=WORM_NETSKY.Y

Linkovi vode do stranica s detaljnim opisom njihovog djelovanja i

načinom njihovog odstranjivanja.

Oba virusa karakterizira uobičajeno širenje (propagacija) kroz dijeljene resurse na mreži (shared drives etc.) i putem email poruka, korištenjem vlastitog SMTP engina, kojim se repliciraju lažirajući kompletna zaglavlja email poruka.

Detalje oko uobičajenih naziva u FROM: i TO: polju zaglavlja, te karakteristične sadržaje teksta poruke za WORM_BAGLE.X možete pogledati na adresi

http://hr.trendmicro-europe.com/enterprise/security_info/ve_detail.php?VName=WORM_BAGLE.X&VSect=T

Kod crva WORM_NETSKY.Y situacija je slijedeća:

From: polje - Lažirana email adresa)

Subject: polje - "Delivery failure notice" popraćen "identifikacijskom

oznakom poruke" u zagradama <-- ID-nasumce generiran niz slova i brojki

(npr. (ID-00002699) )

Iz sadržaja teksta poruke valja izdvojiti slijedeće karakteristične fraze:

.--- Mail Part Delivered ---

.220 Welcome to [%domain%]

.Mail type: multipart/related

.--- text/html RFC 2504

.MX [Mail Exchanger] mx.mt2.kl.%domain%

.Exim Status OK.

nakon čega slijedi nešto iz slijedećeg repertoara:

.New message is available.

.Partial message is available.

.External message is available.

.Delivered message is available.

U privitku obično bude nešto ovog tipa:

Attachment:

www.%domain%.%user%.session-%random 8 char%.com

(Note: %user% and %domain% are taken from the obtained target address

%user%@%domain%.xxx. %random 8 char% refers to an 8-character randomly generated alphanumeric string.)

It gathers target email addresses from files with certain extension names in

all available drives. It also uses the obtained addresses to spoof the From

fields of the email messages it sends out.

Među preostalih pet najučestalijih napasnika u Hrvatskoj i Europi trenutno

spadaju:

1. WORM_MOFEI.B

2. HTML_NETSKY.P

3. WORM_NETSKY.P

4. PE_ELKERN.D

5. PE_VALLA.A

Dok je na globalnom planu razlika samo u petoplasiranom kandidatu:

1. WORM_MOFEI.B

2. WORM_NETSKY.P

3. HTML_NETSKY.P

4. PE_ELKERN.D

5. PE_FUNLOVE.4099 <--