Merevlemez-formázó féregvírus

A fertőzött e-mail tulajdonságai

Tárgy: For YOU, Per TE vagy MAIL FOR YOU !!
Csatolmány: c:/config.bat
Tartalom: a következő kettő valamelyike:
Io provo un grande amore per te.. Farei di tutto per TE vagy
Sei il mio più grande desiderio… TI AMO !!

A féreg paraméterei

Felfedezésének ideje: 2003. március 14.
Védekezés elkészültének ideje: 2003. március 17.
Veszélyeztetett operációs rendszerek: Windows 9x/NT/2k/XP/Me
Nem érintett operációs rendszerek: Windows 3.x, Macintosh, UNIX, Linux, OS/2
Mérete: nem ismert
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: közepes
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– leellenőrzi, hogy a config.bat állomány létezik-e a rendszerben, ezzel képes megnézni, a rendszer meg van-e fertőzve már
– ha nem találja meg, akkor létrehoz egy alkönyvtárat a Windows mappájában, melynek neve Vale lesz
– ide bemásolja magát Config.bat néven
– megváltoztatja a Format.com állomány nevét Scanreg.com-ra, amennyiben megtalálható a Format.com file a Command könyvtárban
– létrehozza a Msg.vbs nevű Visual Basic Scriptet a Vale könyvtárban
– ennek révén megjelenít három üzenetablakot, melyeket az OK gomb megnyomásával lehet eltüntetni
– létrehozza a Mirko.reg nevű Registry kulcs állományt a Vale könyvtárban, ezzel pedig módosítja a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcsot oly módon, hogy rögzíti benne a ConfigWin C:/config.bat bejegyzést
– hozzáadja a következő sort az Autoexec.bat-hoz:
@if not exist C:/config.bat scanreg C: /q /u /autotest
– a fenti változtatást követően minden reboot alkalmával megvizsgálja, megvan-e még a C meghajtó gyökerében a Config.bat állomány, s ha nincs, akkor leformázza a merevlemezt
– létrehozza a Vale.vbs állományt a Vale könyvtárban, ennek révén pedig Outlookkal továbbküldi magát minden kontakt számára, aki az Address Bookban megtalálható
– létrehozza a Mirko.vbs állományt a Vale könyvtárban, ennek révén pedig Outlookkal továbbküldi magát minden kontakt számára, aki az Address Bookban megtalálható
– módosítja a Script.ini file-t, így IRC-n keresztül is képes lesz terjeszteni magát