W32.Higuy@mm – a tipikus e-mailező féregvírus

A fertőzött e-mail tulajdonságai

Tárgy: a következőkből választ egyet véletlenszerűen
Incredibile..
Urgente! (vedi allegato)
Qualsiasi cosa fai,falla al meglio.
Incredible..
Csatolmány: az alábbi három közül választ egyet véletlenszerűen
tettona.exe
euro.exe
tattoo.exe, ezek mérete 34.716 byte
Tartalom: véletlenszerűen választott az alábbiak közül
– Ciao,
apri subito l´allegato,e´ molto interessante.
A presto…
– Ciao,
devi assolutamente vedere il file che ti ho allegato.
A presto…
– Ciao,
okkio all´allegato 😉
A presto…
– Hello,
see this interesting file.
Bye.

A féreg paraméterei

Felfedezésének ideje: 2002. június 14.
Védekezés elkészültének ideje: 2002. június 14.
Veszélyeztetett operációs rendszerek: Windows 9x/NT/2k/XP/Me
Nem érintett operációs rendszerek: Macintosh, Unix, Linux
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– a képernyőn megjelenteti a lent látható, hamis hibaüzenetet
– bemásolja magát a Windows könyvtárába dllmgr32.exe néven
– hozzáadja a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz az alábbi bejegyzést
DllManager WINDOWS/dllmgr32.exe, ezáltal minden egyes rendszerinduláskor futtatásra kerül a féreg
– megnyitja a HKEY_LOCAL_MACHINE/Software/Microsoft/WAB/WAB4/Wab File Name Registry kulcsot, hogy hozzáférhessen az Outlook Address Bookjához
– megkísérli továbbküldeni magát a fent ismeretett e-mail formátumban