Windows XP törés – állítja magáról a féregvírus

A fertőzött e-mail paraméterei

Tárgy: Failure notice!
Tartalom: I´m sorry, but It wasn´t possible for me to deliver your message to the recipient you requestet. Open the attachment to see your original mail.
Csatolmány: Your Original Mail.eml[számos szóköz].exe

Tárgy: Funny thing :)!
Tartalom: Hi again!
ust found this funny game in the web. I´ve got 2473 points, do you beat my highscore? 😉 Ok, cya later!
Csatolmány: a következők közül egy:
Setup.exe, WindowsXP Crack.exe, StarCraft BW 1.09bNo-CD, Crack.exe, Half-Life No-CDCrack.exe, WinzipSerial.exe, Windows 2000Serial.exe, Madonna Screensaver.exe, FixKlez.exe, WarCraft III No-CD(all versions)

A féreg tulajdonságai

Felfedezésének ideje: 2003. február 10.
Védekezés elkészültének ideje: 2003. február 10.
Veszélyeztetett operációs rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett operációs rendszerek: Windows 3.x, Macintosh, Unix, Linux, OS/2
Mérete: 28.672 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: közepesen nehéz

Aktiválódása esetén lezajló események

– a Windows könyvtárba másolja fel magát WinHaelp.exe néven
– módosítja a load= sort a Win.ini állományban a következőképp: load=WinHaelp.exe
– módosítja a System.ini file shell= sorát: shell=Explorer.exe WinHaelp.exe
– hozzáadja a WinHaelp.exe [Windows elérési útvonala]/WinHaelp.exe bejegyzést a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServices Registry kulcshoz
– megkísérli leállítani azokat a futó processeket, melyek nevükben tartalmazzák a következő stringeket: zone, afee, prot, sym
– MAPI használattal megkísérel tovaterjedni
– szintén szaporodását segíti elő a megosztott könyvtárakba való betelepülés
– e-mailcímeket gyűjt HTM, HTML, BAK és TMP állományokból, majd az így megszerzett listára továbbítja magát a fent ismertetett formátumban