IRC-Worm.DOS.Kazimas

Technické údaje

Jedná se o IRC virus červ, který se šíří přes mIRC kanály. Zobrazuje se jako soubor DOS EXE MILBUG_A.EXE asi 10 kB. Když je spuštěn, zkopíruje se do několika adresářů disků pod různými názvy:

C: WINDOWSKAZIMAS.EXE

C: WINDOWSSYSTEMPSYS.EXE

C: ICQPATCH.EXE

C: MIRCNUKER.EXE

C: MIRCDOWNLOADMIRC60.EXE

C: MIRCLOGSLOGGING.EXE

C: MIRCSOUNDSPLAYER.EXE

C: GAMESSPIDER.EXE

C: WINDOWSFREEMEM.EXE

Červ potom infikuje nainstalovaný klient mIRC v adresáři C: MIRC: vytvoří nový soubor skriptu SCRPT.INI a přepíše konfigurační soubor MIRC.INI. Pokud je klient mIRC nainstalován v jakékoliv jiné cestě, červa ho neinfikuje.

Červ upravuje soubory MIRC.INI, které přizpůsobí klienta mIRC. Existuje několik možností nastavení, například identita uživatele je nastavena na "kazimas" a další skriptový soubor SCRPT.INI je zahrnut v skriptech automatického spuštění.

Soubor SCRPT.INI, který je vypuštěn červem, obsahuje několik pokynů, které přepínají uživatele na kanál "Chat2K", posílají tam zprávy a nejdůležitější: posílají na kanál červenou kopii (C: WINDOWSKAZIMAS. Soubor EXE).

Červ přepsá také soubor C: AUTOEXEC.BAT s instrukcemi, které obnovují kopie červů (pokud jsou vymazány) a provedení:

@copy c: windowssystempsys.exe c: windowskazimas.exe> ​​nul

@copy c: windowskazimas.exe c: kazimas.exe> ​​nul

@c: kazimas.exe> ​​nul

@ cls