Vírusfigyelmeztetésnek álcázott, fertőzött e-mail

A fertőzött e-mail jellemzői

Feladó: securityresponse@symantec.com

Tárgy: A következők valamelyike:
– Antivirus Update
– Blaster strikes again…please read!
– Destroy Blaster
– New Computer Virus Protection!!
– New worm on the looser please read
– Protect your SYSTEM from new viruses!
– Read it!
– Read this for your PC´s safety!!
– Read this please!

Csatolmány>: patch.zip

Tartalom:
Dear user, a new variant of the worm ´Blaster´ has been released a week ago!

It´s spreading faster than it ever did, this version of Blaster has been classified as ´Category 5´.
Please click on the following link to understand how bad is a worm classified in Category 5:

http://securityresponse.symantec.com/avcenter/
threat.severity.html#category

Symantec has developped a new ´patch´ file which will prevent the new variant of Blaster to be execu ted and keep your system safe and clean.
The Patch file can be found in the attachment, please make sure you install it before being infected, because if you´re already infected, the patch file
cannot fix/remove this type of threat as it´s not yet studied quite good.
Symantec strongly recommends you to download and install the patch file before it´s too late!

Symantec will soon release the ´Removal Tool´ for this threat.
So if you don´t often visit Symantec.com, we recommend you to visit us everyday to be in touch with the news of this type of threat.

P.S: We would like to thank Mr.Bazzi for making this patch file.

Regards,

Symantec, http://www.symantec.com

A féreg paraméterei

Felfedezésének ideje: 2005. február 16.
Utolsó frissítés ideje: 2005. február 16.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 53.248 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– létrehozza a következő állományokat:
. C:/party!!.pif
. [Windows elérési útvonala]/sys32dll.exe
. [felhasználói profil elérési útvonala]/Start Menu/Programs/Startup/Norton.exe
– hozzáadja az MsVBdll=[Windows elérési útvonala]/sys32dll.exe bejegyzést a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– a FirewallDisableNotify, az UpdatesDisableNotify és az AntiVirusDisableNotify bejegyzés értékét egyre állítja a következő Registry kulcsokban, hogy lecsökkentse a rendszer biztonságosságát: HKEY_CURRENT_USER/Software/Microsoft/security center, HKEY_LOCAL_MACHINE/Software/Microsoft/security center
– letiltja a Task managert és a Registry-módosító eszközöket a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/System kulcs egyes értékeinek módosításával, illetve az automatikus frissítést a HKEY_LOCAL_MACHINE/Software/Policies/Microsoft/Windows/WindowsUpdate/AU kulcs módosításával; valamint a Windows=Auto Update.exe bejegyzés HKEY_LOCAL_MACHINE/Software/Policies/Microsoft/Windows/CurrentVersion/Run Registry kulcsból való törlésével
– a következő üzenetet küldi az AOL Instant Messengerén keresztül, ha az fel van telepítve a rendszerre: ˝Hey I went to a wild party last week! check out the pics!!!!˝; illetve megkísérli átküldeni a C meghajtó gyökerében található party!!.pif állományt
– leállítja az svchost.exe és az lsass.exe process-eket
– a Windows Address Bookjában és különböző állományokban e-mailcímek után kutat, majd a megszerzett e-mailcímekre továbbítja magát