ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Email-Worm.VBS.Newlove

Classe Email-Worm
Plataforma VBS
Descrição

Detalhes técnicos

Esta é uma variante extremamente perigosa do worm de Internet "LoveLetter" . Assim como em seu antecessor "LoveLetter", o worm "NewLove" é escrito na linguagem Visual Basic Script e se espalha como um arquivo VBS com um nome aleatório. O worm se instala no sistema, obtém acesso ao catálogo de endereços do MS Outlook e se envia para todos os endereços listados nele.

O assunto da mensagem infectada começa com "FW:" e é completado com um texto aleatório de até 30 caracteres de comprimento e extensão aleatória da seguinte lista:

Doc, Xls, Mdb, Bmp, Mp3, Txt, Jpg, Gif, Mov, Url, Htm, Txt

���������� ������

Isso também serve como o nome do arquivo anexado, por exemplo:

FW: VPAVQXCUUNGUFLTJSLNAUTQZXJUG.Bmp
FW: QKUPLSXOOIBPAGNENGIVPN.Mp3
FW: TNXSOVARRLESDJQHQJLYSQNWV.Mdb
FW: HBLHCJOFFZS.Mdb
FW: MGQMHOTKKEXLWCJAJ.Doc
FW: SMXSNUZRRKDRCJQGPIKXRQNWU.Mdb
FW: CWGCXE.Mp3

O corpo da mensagem está vazio e há um arquivo VBS anexado com o mesmo nome de arquivo que está na linha de assunto, mas com uma extensão ".VBS" adicionada. Dependendo das configurações do sistema, uma extensão real do arquivo anexado (".vbs") pode não ser mostrada. Nesse caso, o nome do arquivo de um arquivo anexado é exibido como mostrado acima (sem "FW:").

Quando o arquivo anexado é ativado (clicando duas vezes, por exemplo), o worm envia suas cópias para todos os endereços da base de endereços do MS Outlook.

O worm então destrói o computador. Ele verifica todas as unidades de disco locais e mapeadas e substitui todos os arquivos por sua cópia e adiciona a extensão ".VBS" aos nomes de arquivos (por exemplo, COMMAND.COM se torna COMMAND.COM.VBS). Como resultado, todos os arquivos em todos os drives acessíveis são totalmente destruídos.

Por causa disso, o worm é capaz de se espalhar apenas uma vez – envia sua cópia para todos os endereços disponíveis e, em seguida, destrói o computador.

O worm é capaz de se espalhar apenas na instância em que o MS Outlook está instalado no sistema. A rotina de carga útil do worm é ativada independentemente do sistema de e-mail instalado no computador. No caso de haver outro sistema de e-mail instalado, o worm não envia e-mails infectados, ao invés disso, destrói todos os arquivos no computador.

O verme é polimórfico. Após cada infecção, insere comentários aleatórios em seu código. O worm faz isso toda vez que se espalha e, como resultado, seu tamanho aumenta dependendo de sua geração (cerca de 60% do tamanho atual), por exemplo:

1ª geração: 110Kb
2ª geração: 248Kb
3ª geração: 403Kb
4ª geração: 585Kb
5ª geração: 805Kb
6ª geração: 1040Kb
etc

O código do worm "puro" tem cerca de 5Kb.

A proteção para esse tipo de worms já foi liberada pela Kaspersky. O "AVP Script Checker" protege o sistema contra o novo worm e previne a infecção. Recomendamos vivamente que transfira o "AVP Script Checker" dos nossos sites da Kasperky Lab.


Link para o original