Email-Worm.JS.Sigbug

Technické údaje

Tento škodlivý program je červ, který obsahuje HTML e-mail. Posílá se na všechny e-mailové adresy v adresáři. 31. května červ vypne grafické uživatelské rozhraní na systémech Win9x. Má velikost 1 889 bajtů. Je napsán v jazyce JavaScript.

Instalace

Při instalaci se červeň zkopíruje na poškozený stroj pod následujícím názvem:

 C: Recycledstacey.htm 

Užitné zatížení

Červ nahrazuje podpis zprávy ve zprávách odesílaných prostřednictvím aplikace Outlook Express instalací následujících klíčů:

1. Umožňuje použití podpisů z externích souborů:
   [HKCUIdentities% ID_ïîëüçââàòåëÿ% SoftwareMicrosoftOutlook Express5.0]
   "Podpisové vlajky" = "3"
2. Konfiguruje aplikaci Outlook Express, aby používal výchozí podpis definovaný jako "00000000":
   [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures]
   "Výchozí podpis" = "00000000"
3. Nainstaluje systémový registr, který umožňuje nahrát podpis "00000000" ze souboru červa:
   [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures 0000000]
   "name" = "Podpis # 1"
   "typ" = "2"
   "text" = ""
   "soubor" = "C: RECYCLEDSTACEY.HTM"

   Červ používá službu MS Outlook k odeslání e-mailu na všechny adresy z adresáře.

   Předmět zprávy: "Zkontrolujte toto!"

   Tělo zprávy obsahuje text z následujícího souboru: C: Recycledstacey.htm

   Červ potom nainstaluje klíč, který indikuje, že zprávy byly odeslány poštou:

    [HKCUSoftwareJS.Stacey]
   "Poslal" = "Ano!" 

   Při každém otevření infikované zprávy nebo spuštění aplikace Outlook Express červa zkontroluje aktuální systémový den. Každý rok 31. května zakáže grafické uživatelské rozhraní na systémech Win9x.

   Pokyny k odstranění

   Pokud váš počítač nemá aktuální antivirový program nebo vůbec nemá antivirové řešení, postupujte podle níže uvedených pokynů a odstraňte škodlivý program:

   1. Odstraňte původní soubor červů (umístění bude záviset na tom, jak program původně pronikl do poškozeného počítače).
   2. Odstraňte následující klíče registru:

      [HKCUIdentities% ID_ïîëüçââàòåëÿ% SoftwareMicrosoftOutlook Express5.0]
      "Podpisové vlajky" = "3"

      [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures]
      "Výchozí podpis" = "00000000"

      [HKCUIdentities% ID_ïîëüçîâàòåëÿ% SoftwareMicrosoftOutlook Express5.0signatures 00000000]
      "name" = "Podpis # 1"
      "typ" = "2"
      "text" = ""
      "soubor" = "C: RECYCLEDSTACEY.HTM"

      [HKCUSoftwareJS.Stacey]

   3. Odstraňte následující soubor:

       C: Recycledstacey.htm 

   4. Upravte konfiguraci automatického vložení podpisu do aplikace Outlook Express.
   5. Aktualizujte antivirové databáze a proveďte úplné skenování počítače ( stáhněte zkušební verzi aplikace Kaspersky Anti-Virus).