W32.HLLW.Shorm.B – önmagát frissítő, vélhetően orosz származású féregvírus

A féreg paraméterei

Felfedezésének ideje: 2002. október 7.
Védekezés elkészültének ideje: 2002. október 8.
Veszélyeztetett operációs rendszerek: Windows 9x/NT/2k/XP/Me
Nem érintett operációs rendszerek: Windows 3.x, Macintosh, Unix, Linux
Mérete: 30.208, 37.888, 39.424 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– a féreg egy orosz weboldalra ellátogat frissítésért, majd innen letölti az ˝upgrade˝ állományt (ennek neve: Wormxx.bmp, ahol az xx egy kétjegyű szám)
– futtatja az így beszerzett file-t
– átmozgatja magát a Windows könyvtárba, a következő három néven szerepelhet ott ezek után: Interet32.exe, Winint32.exe (ezen esetben bekerül egy Mpr32.dll állomány is a Windows könyvtárba), Files32.vxd
– ha a bemásolt file Interet32.exe vagy Winint32.exe, akkor a bejegyzést adja hozzáa a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– ha a Files32.vxd kerül felvitelre, akkor a HKEY_LOCAL_MACHINE/Software/Classes/exefile/shell/open/command Registry kulcs default értékét módosítja, mégpedig a következő értékre: Files32.vxd ˝%1%*
– ezen módosításnak ˝köszönhetően˝ minden alkalommal, amikor egy EXE állományt futtat a felhasználó, a féreg is automatikusan elindításra kerül
– letölt egy file-t, amiben egy IP-cím első három száma található meg, a negyediket pedig saját maga tölti ki, s ehhez a címhez megkísérel csatlakozni
– ha sikeres a kapcsolódás, megosztások után kutat, amennyiben talál, felmásolja oda magát a következő nevek egyikén: Auto.exe, Auto16.exe, Worm23.exe, Worm25.exe, Script.exe