Email-Worm.VBS.Potok

Technické údaje

Jedná se o rodinu internetových červů, které se šíří prostřednictvím e-mailu zasíláním infikovaných zpráv z infikovaných počítačů. Během šíření používají červi aplikaci MS Outlook a odesílají se na adresy, které jsou uloženy v adresáři MS Outlook.

Červy jsou psány v skriptovacím jazyce Visual Basic Script (VBS) a fungují pouze na počítačích, na kterých byl nainstalován WSH (Windows Scripting Host). V systémech Windows 98 a Windows 2000 je standardně nainstalována služba WHS. Chcete-li se šířit, červi přístup MS Outlook, a používat jeho funkce a seznamy adres. To je k dispozici pouze v aplikaci Outlook 98/2000, takže se červy mohou šířit pouze v případě, že je nainstalována jedna z těchto verzí MS Outlook.

Červ přijde do počítače jako e-mail s připojeným VBS souborem, který je samotným červem. Zpráva v původní verzi červ obsahuje:

Předmět: Nová generace ovladačů.
Tělo zprávy:

Společnost Microsoft hasCards, comp vydala nový ovladač
pro všechny typy videozáznamů se systémem Windows 95/98 / NT / 2000 / XP.
O tom můžete přečíst v dokumentu o přílohách.
Nejlepší přání, Microsoft.

Přiložený název souboru: "driver.doc .vbs"

Rozšíření souboru (".vbs") je odděleno spoustou mezer a někdy nemusí být zobrazeno.

V závislosti na nastavení systému se nemusí zobrazit skutečný přípona připojeného souboru (".vbs"). V tomto případě se název souboru připojeného souboru zobrazí jako "DRIVER.DOC".

Po aktivování uživatele (dvojitým kliknutím na připojený soubor) vytvoří červ v adresáři WINDOWS přesnou kopii s názvem "driver.doc .vbs".

Červ kontroluje, zda je souborový systém NTFS, a pokud není, ukončí se. Pokud je souborový systém NTFS, vytvoří červa v adresáři WINDOWS soubor ODBC.INI a přidá s ním čtyři další toky NTFS.

Je-li souborový systém NTFS, červa vytvoří soubor ODBC.INI v adresáři WINDOWS a přidruží s ním čtyři další toky NTFS.

skupina – přidá uživatele do systému
mail – odešle kopie pomocí aplikace Outlook
hlavní – hlavní část červa
uživatel – přidá uživatele do systému

Pak vytvoří dočasný soubor ("go.vbs"), který sestavuje všechny části červa do jednoho souboru ("notepad.vbs") a spustí jej.

Část červa spuštěná z NOTEPAD.VBS odešle svou kopii na první 50 e-mailových adres v adresáři aplikace Outlook. Po odeslání pošty červa zkontroluje, zda je operační systém Windows 2000 a pokud ano, přidá do systému nového uživatele s názvem "Lord_Nikon".