Email-Worm.Win32.Shatrix

Detalhes técnicos

Este é um vírus que se espalha pela Internet conectado a e-mails infectados. O worm também se espalha por uma rede local copiando para unidades compartilhadas. O worm em si é um arquivo EXE do Windows PE com cerca de 380Kb de comprimento e está escrito em Delphi.

Mensagens infectadas contêm:

Assunto : FW: Shake um pouco

Corpo : Oi!
Isso vai agitar o seu mundo 🙂
Saudações,
% username%

Anexo : SHAKE.EXE

Onde % username% é o nome do usuário das máquinas infectadas.

O worm é ativado a partir de e-mails infectados somente quando um usuário clica em um arquivo anexado. O worm então se instala no sistema, executa sua rotina de distribuição e sua carga útil.

Durante a instalação, o worm se copia para o diretório do sistema Windows com um nome aleatório e registra esse arquivo na chave de execução automática do registro do sistema:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun SystemInfo =% nome do arquivo do worm%

Para enviar mensagens infectadas, o worm usa o MS Outlook MAPI. Para obter endereços de vítimas, o worm procura e verifica os seguintes arquivos:

* .asp * .html * .htm

Dependendo da data do sistema, o worm cria diretórios aleatórios e descarta arquivos HTML com textos construídos aleatoriamente a partir das seguintes strings:

MatriX está lá fora
MatriX tem você …
MatriX está ao seu redor
01001101011000010111010001110010011010