Email-Worm.Win32.Tetris

Technische Details

Dies ist ein IRC-Wurm, der sich über IRC-Kanäle verbreitet. Der Wurm selbst ist eine Win32-Anwendung mit einer Größe von etwa 70 KB. Es hat zwei Hauptroutinen: Infektion und Spiel, die beide bei laufendem infizierten Programm aktiviert werden. Der erste infiziert einen Computer, so dass er die Wurm-Kopien weiter zu IRC-Chats verbreitet; Die zweite zeigt ein "Tetris" -Spiel an, mit dem die Aktivität des Wurms verschleiert wird: Diese Routine emuliert echtes und komplettes "Tetris" -ähnliches Spiel.

Um sich zu verbreiten, sucht der Wurm in vier Verzeichnissen nach einem mIRC-Client:

C: Mirc
C: Program Filesmirc
D: mirc D: Programm Filesmirc

Wenn einer gefunden wird, erstellt der Wurm zusätzliche Dateien:

C: Windowsscript.bak – mIRC-Skriptprogramm
C: backup.vbs – VBS-Programm, das später die Installation abschließen wird
C: Windowssystem.exe – Kopie der Wurm-EXE-Datei

Die Datei "C: backup.vbs" wird dann im Registrierungsschlüssel für die automatische Ausführung wie folgt registriert:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SysFile = C: Backup.vbs

Daher wird es bei jedem Systemstart ausgeführt und kopiert dann Dateien:

C: Windowsscript.bak zum mIRC-Verzeichnis mit dem Namen "script.ini"
C: Windowssystem.exe zu C: tetris.exe

Die Datei "script.ini" ist ein kurzes mIRC-Programm, das die Datei C: tetris.exe an alle Benutzer sendet, die den infizierten Kanal betreten.