>je to virus >take muze mit prilohu NEWS blesk.doc.pif >K> dneska rano mi prisel dost pochybnej e-mail s pripojenym >K> souborem "DL_rodomax.xls.bat" (davkovej soubor to ale neni >K> urcite) a textem "Hi! How are you? I send you this file in order to >K> have your advice. See you later." I-Worm/Sircam.A =============== Jde o cca 134kB bubmbrdlicka napsaneho v Delphi. Soude dle zasiforvanych textu pochazi z Mexika: [SirCam Version 1.0 Copyright (c) 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan Mexico] Tento text mimochodem obsahuje i v ponekud "odtucnene" verzi: [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX] Posila se mailem, ktery ma jako subject jmeno prilozeneho souboru a jehoz text sestavuje z techto vet: Hi! How are you? See you later. Thanks I send you this file in order to have your advice I hope you can help me with this file that I send I hope you like the file that I sendo you This is the file with the information that you ask for Pokud ma uzivatel ve Windows jako preferovany jazyk nastavenou spanelstinu, tak se tomu virus prizpusobi: Hola como estas ? Nos vemos pronto, gracias. Te mando este archivo para que me des tu punto de vista Espero me puedas ayudar con el archivo que te mando Espero te guste este archivo que te mando Este es el archivo con la informacion que me pediste Prilozeny soubor je vytvoren z vlastniho tela wormu, za kterym je pripojen nahodne vybrany soubor (archiv, dokument, spustitelny soubor) pochazejici z infikovaneho pocitace. Puvodni jmeno je zachovano, worm si pouze pripoji dalsi priponu (pif, lnk, bat nebo com). Po spusteni se Sircam nakopiruje do nekolika ruznych adresaru pod ruznymi jmeny: SirC32.exe, SCam32.exe, SirC32.exe, ScMx32.exe, Microsoft Internet Office.exe a rundll32.exe Pote zrekonstruuje kopii dokumentu, pod jehoz jmenem dorazil a pokud jde o EXE file, tak ho rovnou spusti (ve snaze nebyt prilis napadny). Pro ostatni typy souboru se pokusi v HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\ najit vhodnou aplikaci k otevreni: Winzip pro .ZIP soubory, Excel pro .XLS a WinWord (nebo alespon WordPad) pro .DOC. Sve pravidelne spousteni pri startu pocitace se snazi si zajistit zapisem do hodnoty Driver32 klice HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\ a modifikaci klice HKCR\exefile\shell\open\command (stejny trik pouziva napriklad I-Worm/PrettyPark). Jako vetsina novejsich viru se i tento umi sirit po sdilenych discich v ramci lokalni site. Na namapovanych discich preferuje adresare \recycled a \windows a sve spousteni pokusi zajistit vlozenim radky @win a odkazem na virus do \autoexec.bat nebo tim ze zameni systemovy soubor run32dll.exe svou kopii. Petr_FPL Odehnal
This archive was generated by hypermail 2.1.2 : 04. 09. 2001, 09:11 CEST