VBS.Trojan.Lovcx – véletlenszerűen állományokat törlő trójai

A trójai program tulajdonságai

Felfedezésének ideje: 2003. január 25.
Utolsó frissítés ideje: 2003. január 26.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux, OS/2
Mérete: 4.350 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódásakor bekövetkező események

– felmásolja magát a System könyvtárba a következő neveken: Msword.vbs, Thwin.vbs
– a rendszerdátum bizonyos hónapjain aktiválja magát:
a. hozzáadja a következő szöveget az autoexec.bat állomány végéhez:
@echo off
rem DEL ˝&sysdir&˝/*.SYS
rem DEL ˝&sysdir&˝/*.DLL
rem DEL ˝&sysdir&˝/*.OCX
rem CLS
rem FORMAT C: /u /v:UNSCH /autotest
CLS
b. létrehozza a THWIN [System elérési útvonala]/THWIN.vbs bejegyzést a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run és a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServices Registry kulcsokban
c. létrehozza a Timeout 0 bejegyzést a HKEY_CURRENT_USER/Software/Microsoft/Windows Scripting Host/Settings kulcsban
– véletlenszerűen választ egyet a következő kiterjesztések közül: .xls, .doc, .wav, .dwg, .mp3, .bak, .wav, .bmp, .htm, .hlp, .chm, .jpg, .gif, .scr, .ttf, .mid, .cdr, .mdb, .dbf, .ico
– a kiválasztott kiterjesztéssel bíró állományok közül letörli az első ötöt, amit megtalál a merevlemezen
– a megsemmisített állományok listáját a System könyvtárban, a ListWin.txt file-ban tárolja
– második futásakor a trójai vár 10 percet, majd megkísérli felmásolni magát Msword.vbs néven az A meghajtóra, amennyiben van lemez a floppy drive-ban