W32.HLLW.Deborms.B – Windows 2000-re, XP-re koncentráló fertőzés

A féreg tulajdonságai

Felfedezésének ideje: 2003. március 12.
Utolsó frissítés ideje: 2003. március 14.
Veszélyeztetett rendszerek: Windows 2k/XP
Nem érintett rendszerek: Windows 3.x/9x/Me/NT, Microsoft IIS, Macintosh, OS/2, UNIX, Linux
Mérete: 32.256 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódásakor bekövetkező események

– a megfertőzött számítógépen a biztonsági logot letörli
– elindít 100 végrehajtási szálat annak érdekében, hogy a helyi hálózaton található összes számítógépet megfertőzze
– megkísérel minden LAN-ba kötött PC-re bejelentkezni (a 139-es, Netbios porton), amennyiben ez sikerül, az alábbi helyekre másolja fel magát (ha azok léteznek):
/Documents and Settings/All Users/Start Menu/Programs/Startup
/WINDOWS/Start Menu/Programs/Startup
/WINNT/Profiles/All Users/Start Menu/Programs/Startup
C:/Winnt/Profiles/All Users/Start Menu/Programs/Startup
C:/Windows/Start Menu/Programs/Startup
C:/Documents and Settings/All Users/Start Menu/Programs/Startup
– hozzáad egy, a féregre mutató bejegyzést a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz
– Windows 9x/Me alatt a NetBIOS Worm [féreg elérési útvonala] bejegyzést hozzáadja a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServices Registry kulcshoz
– Windows 9x/Me alatt alapértelmezett esetben nem működik a féreg, mert a NetShareEnum API-t a Netapi32.dll-ből importálja, ez azonban nem található meg a fent említett Windows operációs rendszerekben