IRC-Worm.MSWord.Anumps

Technické údaje

Tento červ se šíří přes IRC kanály a infikuje dokumenty MS Word. Samotný virus je dokument aplikace Word obsahující makro nazvaný Mumps.

Instalace

Po otevření soubor bude:

• pokus o zakázání nabídky zabezpečení v nabídce Makro
• zakažte zákaz aktivování maker v registru systému Windows
• vytvořte soubor s názvem Mumps.drv v adresáři C: Windows a zapíše kód makra do tohoto souboru. Tento soubor se pak používá k infikování všech otevřených dokumentů aplikace Word
• uložte aktivní dokument na pevný disk pod následujícími názvy:

 C: WindowsFAQ.doc C: Program FilesMicrosoft OfficeOfficeSTARTUPMumps.dot 

• začíná šíření prostřednictvím IRC.

Propagace prostřednictvím IRC

Červ modifikuje soubor s názvem script.ini. To znamená, že soubor C: WindowsFAQ.doc bude automaticky odeslán všem uživatelům kanálu použitého infikovaným počítačem.

Známky infekce

Když se uživatel pokusí otevřít nabídku HelpAbout, červ změní barvu pozadí dokumentu na tmavě modrou. Písmena se zobrazí v bílé barvě. Otevře se také notepad.exe, který zobrazuje následující text:

 "Windows má nedostatek paměťových zdrojů. Prosím restartujte Windows ....." 

Pokud se uživatel pokusí vytisknout aktuální dokument a systémové hodiny se zobrazí na 59 sekund, zobrazí se textové pole s následujícím textem:

 "Ovladač tiskárny není kompatibilní se systémem Windows. Nainstalujte prosím další ovladače tiskárny." 

Pokud se uživatel pokusí zobrazit kód maker nebo otevřít nabídku NástrojeMacro, zobrazí se okno s následující text:

 "Je tu něco s touto funkcí ..." 

jiný

Červa se pokusí zaregistrovat C: WindowsFAQ.doc v registru systému jako výchozí podpis pro aplikaci Microsoft Outlook 5.0. Soubor bude automaticky přidán do veškeré odchozí pošty.