Féregvírus Bill Gates-től

A fertőzött e-mail tulajdonságai

Feladó: bill@microsoft.com
Tárgy: egy a következőkből:
. Re: Movie
. Re: Submited (004756-3463)
. Re: 45443-343556
. Re: Approved
. Approved
. Re: Your application
. Re: Application
Csatolmány: a lenti variációkból választ egyet:
. screensaver.scr
. movie.pif
. submited.pif
. 45443.pif
. documents.pif
. approved.pif
. application.pif
. document.pif
Tartalom: Please see the attached file.

A féreg paraméterei

Felfedezésének ideje: 2003. május 31.
Védekezés elkészültének ideje: 2003. június 2.
Veszélyeztetett operációs rendszerek: Windows 9x/NT/2k/XP/Me
Nem érintett operációs rendszerek: Windows 3.x, Macintosh, UNIX, Linux, OS/2
Mérete: körülbelül 59 Kbyte
Fertőzések száma: 50-999
Földrajzi elterjedtsége: közepes
Károkozás mértéke: alacsony
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– felmásolja magát a Windows könyvátárába mscvb32.exe néven
– ugyanitt létrehozza a következő két állományt: msddr.dll, msddr.dat
– hozzáadja a System MScvb=[Windows elérési útvonala]/mscvb32.exe bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– Windows NT/2000/XP alatt hozzáadja a System MScvb=[Windows elérési útvonala]/mscvb32.exe bejegyzést a HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– felmásolja magát a következő helyekre is:
. Windows/All Users/Start Menu/Programs/StartUp
. Documents and Settings/All Users/Start Menu/Programs/Startup
– négy különböző Geocities weblapról próbál meg adatot letölteni
– az összes, hálózaton megoszott meghajtóra felmásolja magát, amennyiben azokon megtalálja az alábbi könyvtárakat:
. Windows/All Users/Start Menu/Programs/StartUp
. Documents and Settings/All Users/Start Menu/Programs/Startup