Dotkom
Mimail.S – továbbra is pénzünkre utazik a féregvírus
A Microsoft sosem küld olyan e-mailt, melyben arról értesíti Windows-ának felhasználóit, hogy lejárt az operációs rendszer licence, s ezt meghosszabbítani csak a hitelkártya adatok megadásával lehet. A Mimail legújabb változata mégis erre próbálja meg rávenni az áldozatokat.
A fertőzött e-mail tulajdonságai
Tárgy, tartalom: változó
Csatolmány: három részből rakja össze:
1: my, priv, private, prv, the, best, super, great, cool, wild, sex
2: pic, img, phot, photos, pctrs, images, imgs, scene, plp, act, action
3:
.pif
.scr
.exe
.jpg.scr
.jpg.pif
.jpg.exe
.gif.exe
.gif.pif
.gif.scr
A féreg paraméterei
Felfedezésének ideje: 2004. január 28.
Utolsó frissítés ideje: 2004. január 28.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 11.520 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű
Aktiválódása esetén lezajló események
– felmásolja magát a Windows könyvtárba rabbit.exe néven
– önmagát service process-ként regisztrálja
– hozzáadja a RabbitWannaHome=[Windows elérési útvonala]/rabbit.exe bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– megjelenít egy grafikus üzenetet, melyben arról tájékoztatja a felhasználót, hogy ˝lejárt˝ Windows-ának használati ideje (Windows Expiration Notification), amit úgy ˝hosszabbíthat˝ meg, ha megadja hitelkártya adatait
– az így megszerzett információkat egy előre meghatározott e-mailcímre továbbítja
– létrehozza a Rabbit értéket a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer Registry kulcsban, hogy nyomon tudja követni fertőzési folyamatát
– a következő könyvtárakban keres e-mailcímeket tartalmazó file-ok után:
. C:/
. C:/Program Files/
. Application Data Folder
. Desktop
. Common Programs Folder
. Startup Folder
. Templates
. Documents
. Favorites
– a kutatásból a következő kiterjesztéssel bíró file-okat hagyja ki: .com, .wav, .cab, .pdf, .rar, .zip, .tif, .psd, .ocx, .vxd, ,.mp3, .mpg, .avi, .dll, .exe, .gif, .jpg, .bmp
– a fenti módszerrel megszerzett (Windows/Outlook.cfg) e-mailcímekre elküldi magát; ehhez saját SMTP-motorját használja
– periodikusan megpróbálja elérni a www.google.com URL-t, hogy ellenőrizze a hálózati csatlakozást
