Worm.Netsky.CA

Worm.Netsky.CA是一种能够自我复制的蠕虫病毒，专门攻击运行 Microsoft Windows 操作系统的计算机。该病毒最早于 2022 年在安全报告中被发现，目前仍活跃在网络上。它属于长期存在的 Netsky 蠕虫家族，该家族历来以群发邮件和网络传播为特征。与其他 Netsky 蠕虫一样，Worm.Netsky.CA 被列为危险威胁，因为它能够自动传播、安装其他恶意组件，并为远程攻击者与受感染系统交互打开方便之门。

Worm.Netsky.CA 的作用

一旦在系统中激活，Worm.Netsky.CA 蠕虫便会自我复制并复制到其他计算机，无需用户采取任何进一步操作。该蠕虫的主要危险在于其能够安装后门组件。该后门允许远程黑客未经授权访问受感染的计算机，并在受害者不知情的情况下执行命令。通过此后门访问权限，攻击者可以复制、重命名、删除或复制受感染系统上的文件，从而有效地将计算机上存储的数据控制权授予第三方。这种级别的访问权限可能导致数据丢失、进一步感染，或使系统被用作发起其他攻击的跳板。

它如何传播到电脑上

Worm.Netsky.CA 的设计使其能够通过多种渠道传播，这也解释了为什么该家族的蠕虫能够长期存在。它可以通过文件共享网络、社交网站、被利用的程序漏洞、电子邮件、互联网中继聊天 (IRC) 频道、U盘等移动存储设备以及未受保护或安全措施薄弱的网络共享进行传播。由于它利用了如此多的感染途径，因此一个不经意的操作——例如打开受感染的电子邮件附件、插入受感染的移动存储设备或连接到安全措施薄弱的网络共享——就足以让蠕虫感染计算机。

用户面临的风险

Worm.Netsky.CA 存在于系统中会带来多种风险。该后门程序可使远程攻击者对受感染的计算机拥有强大的控制权，从而可能导致个人文件、文档和其他数据被窃取、篡改或删除。由于该蠕虫会自我复制，感染还会进一步扩散到家庭或企业网络中，扩大损害范围。此外，由于该恶意软件没有数字签名，且其打包方式难以通过常规检查发现，因此它可以一直潜伏在系统中，而用户却浑然不觉。

感染迹象

与许多蠕虫病毒一样，受感染的系统可能几乎不表现出任何明显的症状，这在此类威胁中很常见。用户可能会注意到异常的网络活动、意外的文件更改、系统中出现陌生的文件，或者系统性能下降，因为蠕虫病毒会尝试复制并与外部系统通信。安全软件标记可疑活动或未知进程通常是此类蠕虫病毒存在的最明显迹象。

如何做好防护

为了降低感染 Worm.Netsky.CA 等蠕虫病毒的风险，用户应确保 Windows 操作系统和已安装的程序始终保持最新状态，以修复已知漏洞。避免打开来自未知或意外发件人的电子邮件附件或点击链接，并谨慎从文件共享网络或社交媒体下载文件。移动存储设备在使用前应进行扫描，网络共享也应使用严格的权限进行妥善保护。运行信誉良好且保持更新的安全软件并定期进行系统扫描，有助于在造成重大损害之前检测并清除此类威胁。

分析报告

一般信息

姓：	Worm.Netsky.CA
签名状态：	No Signature

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: ffda414dd0dc4843cd3a5b834cbeb284 SHA1: c4562e1562fc19490598f0a2eae165d90b80b338 SHA256: 89442A84C2015DD78B379DD3B8CB9F42A6AA1293DD679D597ABA916777376807 文件大小: 19.46 KB,19456字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

显示更多

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

文件特征

• 00 section
• 2+ executable sections
• HighEntropy
• No Version Info
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	8
潜在恶意块：	0
白名单区块：	7
未知区块：	1

可视化地图

? 0 0 0 0 0 0 0

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

i

相似家庭

本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。

• Netsky.C
• Netsky.CA
• RBot.C

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation