MP3-nak álcázott féreg

A fertőzött levél tulajdonságai

Tárgy: a következők egyike:
– Surprise
– Important
– Imformation
Tartalom: All you need to know… (in the audio file)
Csatolmány: XAUDIO_SOUND.MP3.VBE

A féreg paraméterei

Felfedezésének ideje: 2004. december 10.
Utolsó frissítés ideje: 2004. december 13.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 7.042 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés meggátlása: könnyű
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– a következő kiterjesztéssel bíró állományok után keres a fertőzött számítógép C meghajtóján:
.dll
.bmp
.jpg
.gif
.txt
.bat
.com
.mp3
.wma
.bkf
– felmásolja magát a rendszerre a megtalált file-ok nevein, .vbs kiterjesztéssel; ezek a másolatok véletlenszerű kommenteket is tartalmaznak azon célból, hogy a kód polimorfnak tűnjék
– a féreg megpróbálkozhat az eredeti állomány letörlésével is; ez akár oda is vezethet, hogy a számítógép nem lesz képes következő alkalommal rendesen bootolni
– megkísérli magát felmásolni a Windows könyvtárba SHELL32.vbs és MAPIDLL.vbs néven, a System könyvtárba pedig NETDLL.vbs néven; valamint XAUDIO_SOUND.MP3.VBE néven is
– az Outlook révén igyekszik minél több e-mailcímre továbbítani magát
– beállítja a DisableTaskMgr=dword: 1 bejegyzést a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/System Registry kulcsban; ezzel próbálván letiltani a Task Manager futtatását
– hasonlóképpen jár el a HKEY_CURRENT_USER/Software/Microsoft/Windows Scripting Host/Setting Registry kulcs és a Timeout=dword: 0 bejegyzés esetén
– megpróbálja létrehozni a readme.htm állományt a Windows könyvtárban
– VB script futtatásával próbálkozik, mely a következő kiterjesztéssel bíró file-okban keresgél: .txt, .doc, .htm, .inf
– véletlenszerűen hozzáadhatja az I´m the BEST sort a megtalált file-okhoz