ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Virus.VBS.TripleSix

Classe Virus
Plataforma VBS
Descrição

Detalhes técnicos

Este é um worm escrito em Visual Basic Script Language (VBS). Este worm se espalha via e-mail e canais de IRC (Internet Relay Chat).

Sendo executado, o script do worm exibe a mensagem:


Seu nome soma 666?
Esta pequena ferramenta lhe dirá como seu nome se encaixa no ASCII
caracteres (sem incluir espaços e sem converter números para
ASCII). É apenas por diversão, isso não significa que você vai para o inferno
se você obtiver um 666. Você provavelmente deve ler a Bíblia se estiver preocupado
sobre isso.

Em seguida, ele pede ao usuário nomes e conta a soma de códigos ASCII de caracteres no texto digitado:


Seu nome soma 666?
Digite seu nome. Tente também nomes de sua família e amigos. E se você
quero algo interessante tente BILL GATES 3 (nome real do Bill é Bill
Gates o terceiro) e a Bíblia Sagrada. Pressione Cancelar ou Ok sem inserir nenhum
nome para sair.

Quando o texto vazio é inserido, o worm passa para a rotina de distribuição. No começo esta rotina cria um arquivo zipado dentro de si mesmo. Para criar um arquivo, o worm usa o utilitário "pkzip" armazenado dentro do corpo de worms no formato criptografado baseado em texto e o decrementa antes de ser executado. Em seguida, o worm coloca o arquivo criado no diretório do Windows com o nome "666TEST.ZIP".

Outro arquivo que o worm cria é "REGSVR.VBS" na pasta de sistema do Windows. O worm modifica o registro do sistema para executar este script a cada inicialização do Windows.

Sendo executado, este script enumera todas as unidades de disco no computador e verifica as seguintes pastas:


MIRC
MIRC32
PIRCH
PIRCH98

Se dentro da pasta de verificação ou de suas subpastas, onde estão os arquivos executáveis ​​MIRC ou PIRCH (clientes IRC populares), o worm cria um script para o cliente IRC encontrado que envia o arquivo 666TEST.ZIP com o worm para cada canal do IRC.

Ele também verifica a data do sistema e no quinto dia de cada mês muda o papel de parede da área de trabalho com uma imagem em azulejo de rosto triste.

Por fim, o worm tenta se espalhar via e-mail usando o MS Outlook da mesma maneira que o vírus "Melissa" . A mensagem infectada com o worm contém o arquivo anexado "666TEST.ZIP" com script de worm dentro. O assunto da mensagem é "666 test", e body is "> Seu nome soma 666 caracteres ASCII? Você vai para o inferno?".

O worm não se espalha de um computador duas vezes. Para evitar a propagação duplicada, ela cria a chave no registro do sistema:


"HKEY_LOCAL_MACHINESoftwareMIRC / OUTLOOK / PIRCH.VanHouten" = "Verdadeiro"


Link para o original