Trojan.Win32.Menace

Detalhes técnicos

Este é um vírus que se espalha pela Internet usando o cliente da AOL. O próprio worm é um aplicativo Win32 (arquivo EXE PE) com cerca de 86K, e está escrito em VisualBasic 6.0.

O worm chega como um arquivo SOFUNNY.EXE anexado a uma mensagem de email que possui um dos dois assuntos e o mesmo corpo:

Assunto 1: Fwd: Isso é ótimo! =)
Subject2: Fwd: Isso é hilário! =)
Corpo: Vocês tem que baixar isso! Isso é realmente engraçado!

Para espalhar, o worm espera até que o cliente AOL esteja ativo, manipule as funções da AOL, obtenha acesso a e-mails na caixa de entrada e responda a elas com mensagens infectadas (observação: isso não foi testado no laboratório).

O worm também tem capacidade de roubo de senhas e envia o login e as senhas da AOL dos computadores infectados para o host.

Quando o worm é executado (a partir da mensagem infectada), ele exibe uma mensagem de erro falsa:

Erro fatal # 6834
Um erro desconhecido ocorreu.

O worm então se copia para o diretório do Windows exatamente da seguinte maneira:

C: WINDOWSmsdos423.exe
C: WINDOWSSOFUNNY.exe

Um desses arquivos é registrado na chave de registro de execução automática:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun msdos423 = c: windowsmsdos423.exe

O worm também cria um arquivo adicional, C: WINDOWSmsdos423.ini, e se armazena ali, por exemplo:

[Configuração]
Copiado = Verdadeiro
Enviado = Verdadeiro
Uploaded = True

O worm também contém as strings de texto "copyright":

AOL PWS para a versão 4, 5 e 6. Agora um worm também! Por ameaça