Szerelmeslevélnek álcázott e-mailben terjedő féreg

A fertőzött e-mail jellemzői

Tárgy: Re: LOV YA!
Tartalom: Kindly read and reply to my LOVE LETTER in the attachments 🙂
Csatolmány: LOVE_LETTER.TXT.exe

A féreg paraméterei

Felfedezésének ideje: 2005. február 22.
Utolsó frissítés ideje: 2005. február 23.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 43.520 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– létrehozza az alábbi állományokat a megtámadott rendszeren:
• C:/MESSAGE.txt
• C:/MS_LARISSA.exe
• [Windows elérési útvonala]/SpoolMgr.exe
• [Windows elérési útvonala]/love_letter.txt.exe
• [System elérési útvonala]/MS_LARISSA.exe
• C:/WINDOWS/WinVBS_32.vbs
• C:/WINDOWS/System32/REG_32.vbs
• C:/LARISSA_ANTI_BROPIA.html
– hozzáadja a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz a következő bejegyzéseket:
• MS_LARISSA=[System elérési útvonala]/MS_LARISSA.exe
• spoolsv manager=[Windows elérési útvonala]/SpoolMgr.exe
– módosítja a HKEY_CURRENT_USER/SOFTWARE/Microsoft/Internet Explorer/Main kulcs Start Page bejegyzésének értékét egy, a geocities.com webhelyen levő weblap címére, így állítva át az Internet Explorer kezdőoldalát
– lefuttatja a Reg_32.vbs és a WinVBS_32.vbs állományokat
– a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion
/Policies/Explorer, a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion
/Policies/System és a HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion
/Policies/WinOldApp Registry kulcsok némely bejegyzéseinek módosításával letilt egyes Windows funkciókat
– hozzáadja a Contacts=[az Outlook Address Bookjában található kontaktok száma] és a [elküldve minden e-mailcímre]=1 bejegyzést a HKEY_CURRENT_USER/Software/Microsoft/WAB kulcshoz
– megnyithat egy böngészőablakot, hogy megjelenítse egy fürdőruhás nő képét
– megkísérli magát felmásolni a hálózati meghajtókra, valamint az A floppy drive-ban levő lemezre
– lefutttatj a Windows mappában levő WinVBS_32.vbs állományt, aminek révén elküldi önmaga másolatait az összes megszerzett e-mailcímre
– megjelenít egy rózsaszínű szöveget, amikor a gyanútlan felhasználó kinyitja a csatolmányt