IRC-Worm.DOS.Loa

Detalhes técnicos

Este é um worm IRC que se espalha através dos canais mIRC. O código do worm em si é um arquivo DOS EXE nomeado aleatoriamente. Quando executado, o worm se copia com o nome LOA.EXE para o diretório do Windows e registra esse arquivo no registro do sistema na seção de execução automática:

LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices:"Life of Agony" = "loa.exe"

Quando o worm localiza o arquivo MIRC.INI, ele grava lá várias instruções que desabilitam as configurações de segurança do mIRC e cria seu arquivo de script que contém comandos que enviam o arquivo EXE do worm para o canal.

O worm se manifesta como um programa antivírus que busca e apaga o worm mIRC do DM-Setup (o worm na verdade exclui os arquivos do DM-Setup se eles estiverem presentes nos discos). Em seguida, exibe as seguintes mensagens:

Você está prestes a analisar o seu disco rígido para o vírus DMSetup, éÉ crucial que você execute este programa sem o mIRC ativo, então se vocêainda estão no mIRC no momento, digite / EXIT antes de continuar.Pressione qualquer tecla se o mIRC não estiver ativo …

O worm também exibe outras mensagens que dependem da data atual:

Anti-vírus PowerBit v3.34, (C) opyrighted 1999 pela PB Systems.SHAREWARE – REGISTO?SIM!Varredura concluída, nenhum vírus foi encontrado.O Ultimate Chaos Website 2 – http://sourceofkaos.com/homes/ultchaosMe visite…AGORA!Não detectado.CANDEEIRO DE REABEZZA POR ODELIÓFILO [SUCK] … ViSiT #warez!SELF CHECK:oKeYnO WaReZ se LEVANTAM NO CURSO C: !!!Kit de ferramentas anti-vírus DrSolomon v10.00 – EDIÇÃO ESPECIAL -Digitalizando memória (DOSUMBHMAXMS) …Nenhum vírus encontrado na memóriaNenhum vírus foi encontrado.ScanDisk 2.00, (C) Copyright Microsoft Corp 1981-1998.Verificando áreas críticas …Está bemNenhum erro foi detectado.Anti-Back-Orifício II.A, detecta / remove todas as instâncias de BO do seu sistema.Verificando o registro …BO não foi encontrado no registroSistema limpo, visite http://sourceofkaos.com/homes/ultchaos para atualizações.TERA SPOOF-INSTALLER VERSÃO 6.66Verificando shadow-RAM …localizado em x0FA56D6A4hFalha ao instalar o spoof, SPSOCK64.DLL ausente.WinGater by Terminatius [Encontra os WinGates instalados no seu sistema].Localizando o registro:REGISTRY.REGNenhum WinGates encontrado, vá para Undernet, #wingater para obter ajuda.Detector de vírus Thunderbyte v9.24, – (C) Copyright 1989-1999 Thunderbyte BVVERIFICAÇÃO DE SANIDADE:ESTÁ BEM!Nenhum vírus foi encontrado.Anti-Nuke escrito por cDc – Cult of the Dead Cow.Verificando o V86 interrompe …Nenhuma pesquisa detectadaNenhum programa nuclear foi encontrado.LOA's Kill-DMSetup versão 2.2, – SHAREWAREVerificando a memória …Está bemConcluído!KILL-CIH v2.0. -> mata todas as estirpes CIH conhecidas! <-Verificação de memória …passadoO CIH não foi detectado no seu sistema.

Quando o worm é iniciado com o argumento / SECRET, ele exibe a seguinte mensagem:

= [Life of Agony 1.30, (c) 1998 por T-2000 / Immortal Riot] =Oi! Eu sou o verme [LIFE OF AGONY], e vou acabar com você REAL mal!VIDA DA AGONIA