Állományokat törlő féregvírus

A féreg paraméterei

Felfedezésének ideje: 2004. március 19.
Utolsó frissítés ideje: 2004. március 20.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Macintosh, UNIX, Linux, OS/2
Mérete: változó
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– megjelenít egy álhibaüzenetet, vagy megnyit egy szöveges állományt, amit a féreg hoz létre a fertőzött számítógépen
– felmásolja magát a különböző, véletlenszerűen választott könyvtárakba, ehhez a következő nevek egyikét használja:
. Svchost.exe
. Spoolsv.exe
. Explorer.exe
. Winlogon.exe
. Explorer.exe
– véletlenszerűen kiválaszt egy, már létező állományt, majd ezen file nevének kis módosításával felmásolja magát ugyanabba a könyvtárba
– hozzáadja a ˝[véletlenszerűen létrehozott név]=[féreg elérési útvonala] /logon, /start, /autorun vagy /startup bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcsba
– megkísérel a C meghajtóról állományokat letörölni
– felülírja a Windows könyvtárban található Regedit.exe és a System mappában levő Regedt32.exe állományokat a Notepad.exe-vel
– a rendszerleíró adatbázisból megszerzi az operációs rendszert használó nevét, vállalatának nevét és az ott fellelhető összes e-mailcímet, majd létrehoz egy szöveges állományt ezekből az információkból
– felmásolja magát a Winny nevű file-cserélő program feltöltési vagy letöltési mappájába; a nevet egy japán szavakból álló listából választja ki
– létrehoz egy HTML-file-t, ami képes a féreg futtatására; ennek kiterjesztése vagy .htm vagy .folder lesz
– ez utóbbi esetben a fenti állomány egy standard Windows mappa ikont fog kapni, de dupla kattintásnál lefut a féreg
– screenshotokat készít JPEG formátumban, és beteszi ezeket a file-okat a Winny fel-/letöltési könyvtáraiba
– ZIP vagy LZH archívumokat hoz létre, amik a fenti információkat tartalmazzák; ezeket szintén a Winny-n keresztül terjeszti