Email-Worm.Win32.Petik

Detalhes técnicos

Este é um worm da Internet que se espalha como um arquivo MADCOW.EXE de 8 Kb anexado a mensagens de e-mail. Para enviar mensagens infectadas, o worm usa o MS Outlook. O worm também é capaz de enviar suas cópias para os canais do IRC, infectando um cliente mIRC.

Primeira corrida

Quando o worm é iniciado pela primeira vez (se um usuário clicar no anexo do EXE para a mensagem ou aceitar um download do IRC), o worm se copia para dois arquivos:

• o diretório de sistema do Windows com o nome Wininet32.exe
• o diretório do Windows com o nome MadCow.exe

e registra um arquivo MadCow.exe na seção de execução automática:

• no arquivo Win.ini, seção [windows], "run =" key – em Win9x
• no registro do sistema na chave "Run =" – sob WinNT

O worm, em seguida, cria um diretório C: WIN32 e cria dois arquivos aqui (arquivo em lotes do DOS e programa de script VBS):

ENVOIE.BAT – ele apenas gera um arquivo ENVOIE.VBS (próximo arquivo)
ENVOIE.VBS – este script espalha o worm com mensagens infectadas

Durante a propagação, o script se conecta ao MS Outlook e envia mensagens de email infectadas para todos os endereços no Catálogo de Endereços do MS Outlook. As mensagens contêm o seguinte:

Assunto: Pourquoi les vaches sont-elles folles?
Corpo: Voila un rapport expliquant la folie des vaches
Anexo: MadCow.exe

Segunda corrida

Na próxima inicialização (próxima reinicialização do Windows), o worm cria sua cópia com o nome MadCow.exe no diretório C: WIN32 e, em seguida, infecta um cliente mIRC nos seguintes diretórios:

C: MIRC
C: MIRC32
C: Program FilesMIRC
C: Arquivos de ProgramasMIRC32

O cliente mIRC infectado envia uma cópia do worm (arquivo MadCow.exe) para todos os usuários que ingressam no canal infectado.

De outros

O worm cria a chave de registro: HKLMSoftware [Atchoum]

Se não houver nenhum cliente mIRC encontrado no sistema, o worm cria o arquivo MSLS.ICO no diretório de sistema do Windows, grava uma imagem do imp (devil) e registra como um ícone padrão para arquivos EXE.

O worm também contém as seguintes picadas de texto em seu corpo:

IWorm.MadCow par PetiK (c) 2000
Eu te amo Maya / Je t'aime