Levél a Microsofttól – nagy ütemben szaporodó féregvírus

A fertőzött e-mail jellemzői

Feladó: support@microsoft.com
Tárgy: a következők egyike:
. Your details
. Approved (Ref: 38446-263)
. Re: Approved (Ref: 3394-65467)
. Your password
. Re: My details
. Screensaver
. Cool screensaver
. Re: Movie
. Re: My application
Tartalom: All information is in the attached file.
Csatolmány: a következők egyike:
. your_details.pif
. ref-394755.pif
. approved.pif
. password.pif
. doc_details.pif
. screen_temp.pif
. screen_doc.pif
. movie28.pif
. application.pif

A féreg paraméterei

Felfedezésének ideje: 2003. május 18.
Védekezés elkészültének ideje: 2003. május 18.
Veszélyeztetett operációs rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett operációs rendszerek: Windows 3.x, Macintosh, UNIX, Linux, OS/2
Mérete: 52.898 byte
Fertőzések száma: 50-999
Földrajzi elterjedtsége: közepes
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– felmásolja magát a Windows könyvtárba msccn32.exe néven
– létrehozza a következő állományokat a Windows könyvtárban: hnks.ini, msdbrr.ini
– hozzáadja a System Tray=[Windows elérési útvonala]/msccn32.exe bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– amennyiben az operációs rendszer Windows NT/2000/XP, a System Tray=[Windows elérési útvonala]/msccn32.exe bejegyzést is hozzáadja a HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– felméri a hálózati erőforrásokat és felmásolja magát a következő helyekre:
. Windows/All Users/Start Menu/Programs/StartUp
. Documents and Settings/All Users/Start Menu/Programs/Startup
– megkísérel adatot letölteni különböző website-okról, melyet a fent említett ini állományokban tárol el
– saját SMTP motorja révén továbbítja magát a következő kiterjesztéssel bíró állományokban található e-mailcímekre:
.wab, .dbx, .htm, .html, .eml, .txt