ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Email-Worm.VBS.Potok

Classe Email-Worm
Plataforma VBS
Descrição

Detalhes técnicos

Esta é uma família de worms da Internet que se espalha via e-mail, enviando mensagens infectadas de computadores infectados. Durante a propagação, os worms usam o MS Outlook e se enviam para endereços armazenados no Catálogo de Endereços do MS Outlook.

Os worms são escritos na linguagem de script "Visual Basic Script" (VBS) e funcionam somente em computadores nos quais o WSH (Windows Scripting Host) foi instalado. No Windows 98 e no Windows 2000, o WHS é instalado por padrão. Para se espalhar, os worms acessam o MS Outlook e usam suas funções e listas de endereços. Isso está disponível somente no Outlook 98/2000, portanto, os worms podem se espalhar somente quando uma dessas versões do MS Outlook é instalada.

O worm chega a um computador como uma mensagem de e-mail com um arquivo VBS anexado que é o próprio worm. A mensagem na versão original do worm contém:

O assunto: nova geração de drivers.
Corpo da mensagem:

Microsoft hasCards, comp publicou novo driver
para todos os tipos de vídeo compatível com o Windows 95/98 / NT / 2000 / XP.
Você pode ler sobre isso no documento anexo.
Felicidades, Microsoft.

Nome do arquivo anexado: "driver.doc .vbs"

A extensão de arquivo (".vbs") é separada por muitos espaços e, às vezes, pode não ser exibida.

Dependendo das configurações do sistema, uma extensão real de arquivo anexado (".vbs") pode não ser mostrada. Nesse caso, o nome do arquivo anexado é exibido como "DRIVER.DOC".

Ao ser ativado por um usuário (clicando duas vezes no arquivo anexado), o worm cria sua cópia exata no diretório WINDOWS com o nome "driver.doc .vbs".

O worm verifica se o sistema de arquivos é NTFS e, se não for, sai. Se o sistema de arquivos for NTFS, o worm cria um arquivo ODBC.INI no diretório WINDOWS e associa quatro fluxos NTFS adicionais a ele.

Se o sistema de arquivos for NTFS, o worm cria um arquivo ODBC.INI no diretório WINDOWS e associa quatro fluxos NTFS adicionais a ele.

grupo – adiciona um usuário ao sistema
mail – envia cópias de um worm usando o Outlook
main – parte principal do worm
user – adiciona um usuário ao sistema

Em seguida, o worm cria um arquivo temporário ("go.vbs"), que reúne todas as partes do worm em um arquivo ("notepad.vbs") e o inicia.

A parte do worm lançada a partir do NOTEPAD.VBS envia sua cópia para os primeiros 50 endereços de e-mail no catálogo de endereços do Outlook. Após o envio, o worm verifica se o sistema operacional é o Windows 2000 e, se estiver, adiciona um novo usuário com o nome "Lord_Nikon" ao sistema.


Link para o original