Email-Worm.Win32.Sint

Technické údaje

Jedná se o zasílání e-mailových červů ovlivněním aplikace MS Outlook. Červ samotný je spustitelný soubor Win32 o délce 30K. Červ je napsán v jazyce Visual Basic.

Při spuštění červa se zkopíruje do adresářů Windows s názvy:

C: WindowsVicevi_teza_odvala.txt.exe
C: windowssystemVicevi_teza_odvala.txt.exe

Druhý soubor je registrován v klíči automatického spuštění registru systému:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
Sintesys = c: windowssystemVicevi_teza_odvala.txt.exe

Název adresáře "C: Windows" je hardcoded v červovém kódu, takže není schopen ovlivnit systém v případě, že název adresáře Windows není jako ten.

Červ se také kopíruje stejným jménem do kořenových adresářů všech dostupných logických jednotek (lokálních nebo vzdálených).

Červ se pak připojuje k MS Outlook pomocí funkcí MAPI, získává všechny adresy z adresáře a odesílá zprávy všem. Zprávy obsahují:

Předmět : Vicevi!
Připojte : Vicevi_teza_odvala.txt.exe

Textové tělo je náhodně vybráno ze čtyř variant:

Cao! Izvini sto te uznemiravam ovako, ali evo saliem ti neke vice koji cete sigurno mestapoloziti!

Vozdra! Evo pogledaj ove odveďte koje sam i ja dobio neki dan! Pravo su smijesni!

Cao korisnice! Znamená to, že nemáte žádnou zodpovědnost za odvolání. Nadam se ces imati vremena da ih pogledas!

Zdravo! Nemoram ti nista pricati … samozřejmostí je velké množství kolekcí;)

Chcete-li svou činnost skrýt, červa zobrazí falešné chybové zprávy: