BAT.WCup@mm – a víruskeresőket is megtámadja

BAT.WCup@mm egy olyan batch file, amely e-mail küldő scripteket hoz létre és több file-t is felmásol a merevlemezre. Ráadásul több antivírus szoftver programfile-jait is képes törölni, ezáltal is csökkentve felfedezésének veszélyét.

A fertőzött e-mail tulajdonságai

Tárgy: WorldCup News!
Csatolmány: Worldcup_score.vbs, mérete: nem meghatározott
Tartalom: Read me for more world cup news!

A féreg paraméterei

Felfedezési ideje: 2002. június 11.
Veszélyeztetett operációs rendszerek: nem meghatározott
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktivizálódásakor bekövetkező események

– a Worldcup_score.vbs egy DOS-os batch file, ami létrehozza a következő állományokat a Windows gyökér- illetve System könyvtárában:
Argentina.bat
Worldcup.bat
World_cup_.bat
Germany.bat
China.bat
Turkey.bat
Russia.bat
Denmark.bat
Wini.bat
Costarica.bat
Spain.bat
Funny.bat
Italy.bat
Worldcup_score.vbs
Japan.vbs
England.vbs
Ireland.vbs
Uraguay.vbs
Paraguay.vbs
Brazil.vbs
Dd.ini
Eyeball.reg
Pif.lnk
Vbs.lnk
– létrehozza a C:/ThisIsOnlyASimpleWorm könyvtárat
– lecseréli a Win.ini és a System.ini file-okat olyanokra, amelyek elindítják a felmásolt batch vagy VBS állományokat
– a Windows könyvtárban található összes BAT file-t (beleértve az autoexec.bat-ot is) felülírja saját kódjával
– módosítja a Registry HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run kulcsát a következő értékekkel: eifxi china.bat, cqlyg world_cup_.bat
– több antivírus szoftver programfile-ját megpróbálja törölni:
Progra~1/Norton~1/*.exe
Progra~1/Norton~1/S32integ.dll
Progra~1/Kasper~1/Avp32.exe
Progra~1/Trojan~1/Tc.exe
Progra~1/F-Prot95/Fpwm32.dll
Progra~1/Mcafee/Scan.dat
Progra~1/Tbav/Tbav.dat
Progra~1/Avpersonal/Antivir.vdf