Email-Worm.Win32.Melare

Technické údaje

Melare je červový virus šířící se přes Internet jako přílohu e-mailu. Červ samotný je soubor Windows PE EXE o délce 6 kB, když je komprimován pomocí UPX, dekomprimovaná velikost je asi 15 kB. Je napsán v jazyce Visual Basic.

Červ aktivuje infikovaný e-mail pouze tehdy, když uživatel klepne na připojený soubor. Všimněte si, že skutečný připojený název souboru EXE je skrytý falešným jménem .JPG. Výsledkem je, že infikovaný soubor .EXE je zobrazen jako soubor obrázku (JPG), ačkoli při otevření této přílohy je proveden jako skutečný soubor EXE. Při spuštění z aplikace MS Outlook 97 SP2 jsou tyto připojené soubory zablokovány (ve výchozím režimu).

Červ se pak instaluje do systému, spouští rutinu a užitečné zatížení.

Instalace
Během instalace se červ zkopíruje do adresáře systému Windows pod názvem csrss.EXE a registruje tento soubor v klíči automatického spuštění registru systému:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun   SystemSARS32 =% WindowsDir% csrss.EXE

Šíření
K zasílání infikovaných zpráv používá červa MS Outlook a odesílá zprávy všem adresám, které jsou v adresáři aplikace Outlook.

Infikované zprávy mají následující atributy:

Začátek textového textu zprávy může být pokryt ikonou "Připojit JPG".

Užitné zatížení
Ve dnech 1., 4., 8., 12., 16., 20., 24. a 28. měsíce červ odstraní všechny soubory * .DLL, * .NLS, * .OCX v aktuálním adresáři (ve většině případů by to byl adresář Windows ).