Email-Worm.VBS.Davinia

Detalhes técnicos

Este worm da internet se espalha por mensagens de e-mail usando o MS Outlook e o MS Word 2000.

O worm chega ao computador como uma mensagem de e-mail no formato HTML. O assunto e o corpo da mensagem estão vazios, mas há um script de mensagem em espanhol, que é executado automaticamente quando a mensagem é exibida. Ele abre uma nova janela do navegador e faz o download de uma página do site da Internet do worm.

A página carregada contém outro script que abre um documento do Microsoft Word com macros colocadas no mesmo site. Para evitar um aviso de proteção de macro-vírus, o worm explora a vulnerabilidade "Office 2000 UA Control" e permite que o script desative a proteção de macro-vírus do Microsoft Word 2000 sem a confirmação do usuário. (Para obter mais informações sobre a vulnerabilidade "Office 2000 UA Control", consulte: http://www.microsoft.com/technet/security/bulletin/ms00-034.asp )

A macro no documento do Microsoft Word é executada automaticamente na abertura do documento. Ele obtém acesso ao Microsoft Outlook, extrai endereços do catálogo de endereços do Outlook e envia mensagens de e-mail para eles. As mensagens enviadas são as mesmas que as mencionadas anteriormente, portanto, o próprio worm (macro no documento) é sempre colocado na mesma área – no site da Internet. As mensagens enviadas contêm links apenas para este site e, caso o site do worm fique inacessível, o worm não poderá mais se espalhar.

O worm tem uma rotina de carga perigosa: depois de enviar mensagens, a macro cria um arquivo de diretório do sistema no Windows chamado "littledavinia.vbs" e modifica o registro do sistema para executar esse arquivo em cada inicialização do Windows. O script neste arquivo destrói todos os dados em todos os discos – ele sobrescreve todos os arquivos com uma página HTML. Após a ativação, a página exibe a seguinte mensagem:

A Microsoft lançou uma atualização eliminando a vulnerabilidade "Office 2000 UA Control". É altamente recomendável que você visite http://officeupdate.microsoft.com/2000/downloadDetails/Uactlsec.htm e instale esta atualização.