BAT.Eversaw.B@mm – antivírus szoftvereket is támadó féreg

A fertőzött e-mail tulajdonságai

Tárgy:Who controls you?
Csatolmány: Bat.soulcontrol.bat
Tartalom: Stop your soul being controled! Get illuminated.

A féreg paraméterei

Felfedezésének ideje: 2002. július 17.
Védekezés elkészültének ideje: 2002. július 18.
Mérete: 138.203 byte
Veszélyeztetett operációs rendszerek: Windows 9x/NT/2k/XP/Me
Nem érintett operációs rendszerek: Macintosh, Unix, Linux
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén bekövetkező események

– felmásolja magát a C meghajtó főkönyvtárába bat.soulcontrol.bat néven
– ha meg tudja tenni, akkor az A meghajtóra is felmásolja magát
– létrehozza a következő, nem fertőző állományokat:
C:/Run.bat (3.443 byte)
C:/Cr.vbs (454 byte)
C:/Soulcontrol.jpg (32.966 byte)
C:/Pl.bat (54 byte)
– a Cr.vbs felhasználásával a féreg kikódolja a Run.bat állományt, amely a féreg terjedéséhez szükséges rutint tartalmazza (az Outlookon, a mIRC-en és a pIRCh-n keresztül szaporodik)
– a HKEY_CURRENT_USER/Software/Kazaa/LocalContent Registry kulcsba beírja a Dir0 012345:c:/ bejegyzést, így KaZaA-n keresztül is tud terjedni
– megkísérli letörölni a következő állományokat:
C:/Programme/Norton~1/S32integ.Dll
C:/Pogramme/F-Prot95/Fpwm32.Dll
C:/Programme/Mcafee/Scan.Dat
C:/Tbavw95/Tbscan.Sig
C:/Programme/Tbav/Tbav.Dat
C:/Tbav/Tbav.Dat
C:/Programme/Avpersonal/Antivir.Vdf
C:/Mirc/Script.Ini
C:/Mirc32/Script.Ini
C:/Progra~1/Mirc/Script.Ini
C:/Progra~1/Mirc32/Script.Ini
C:/Pirch98/Events.Ini
– a Win.ini file-hoz hozzáadja a következő sorokat:
[windows]
load=c:/bat.soulcontrol.bat
run=
NullPort=None
– végül hozzáadja a msg c:/pl.bat értéket a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz