Hitelkártya adatokat kicsaló féregvírus

A fertőzött e-mail jellemzői

Tárgy: YOUR PAYPAL.COM ACCOUNT EXPIRES
Tartalom:Dear PayPal member,

PayPal would like to inform you about some important information regarding your PayPal account. This account, which is associated with the email address

[e-mail cím]

will be expiring within five business days. We apologize for any inconvenience that this may cause, but this is occurring because all of our customers are required to update their account settings with their personal information.

We are taking these actions because we are implementing a new security policy on our website to insure everyone´s absolute privacy. To avoid any interruption in PayPal services then you will need to run the application that we have sent with this email (see attachment) and follow the instructions. Please do not send your personal information through email, as it will not be as secure.

IMPORTANT! If you do not update your information with our secure application within the next five business days then we will be forced to deactivate your account and you will not be able to use your PayPal account any longer. It is strongly recommended that you take a few minutes out of your busy day and complete this now.

DO NOT REPLY TO THIS MESSAGE VIA EMAIL! This mail is sent by an automated message system and the reply will not be received.

Thank you for using PayPal.
Csatolmány: paypal.asp.scr vagy www.paypal.com.scr

A féreg paraméterei

Felfedezésének ideje: 2003. november 13.
Utolsó frissítés ideje: 2003. november 14.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 12.832 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– felmásolja magát a Windows könyvtárba svchost32.exe néven
– hozzáadja a svchost32=[Windows elérési útvonala]/svchost32.exe bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– megjeleníti egy, a Paypal kezelőfelületére hasonlító ablakot, ahol megpróbálja kicsalni a felhasználóból hitelkártya adatait
– az innen megszerzett információt a C:/ppinfo.sys állományba menti le
– a www.akamai.com megnyitásával leellenőrzi, hogy van-e aktív Internet-kapcsolat a rendszeren
– leellenőrzi a fenti állományt, amivel meggyőződik arról, hogy sikerült megszerezni a kívánt adatokat
– elküldi a ppinfo.sys állományt négy, előre meghatározott e-mailcímre
– a következő kiterjesztéssel bíró állományokban kutat e-mail címekért: .bmp, .jpg, .gif, .exe, .dll, .avi, .mpg, .mp3, .vxd, .ocx, .psd, .tif, .zip, .rar, .pdf, .cab, .wav, .com
– az összes így megszerzett címet a Windows könyvtárba (el388.tmp) írja be
– saját SMTP motorja révén továbbítja magát