IRC-Worm.DOS.Kazimas

Technische Details

Dies ist ein IRC-Virus-Wurm, der sich über mIRC-Kanäle verbreitet. Es erscheint als eine MILBUG_A.EXE DOS EXE-Datei über 10 KB in der Länge. Wenn es ausgeführt wird, kopiert es sich in verschiedene Verzeichnisse unter verschiedenen Namen:

C: WINDOWSKAZIMAS.EXE

C: WINDOWSSYSTEMPSYS.EXE

C: ICQPATCH.EXE

C: MIRCNUKER.EXE

C: MIRCDOWNLOADMIRC60.EXE

C: MIRCLOGSLOGGING.EXE

C: MIRCSOUNDSPLAYER.EXE

C: GAMESSSPIDER.EXE

C: WINDOWSFREEMEM.EXE

Der Wurm infiziert dann den installierten mIRC-Client im Verzeichnis C: MIRC: Er erstellt eine neue Skriptdatei SCRPT.INI und überschreibt die Konfigurationsdatei MIRC.INI. Wenn der mIRC-Client in einem anderen Pfad installiert ist, kann der Wurm ihn nicht infizieren.

Der Wurm ändert die MIRC.INI-Dateien, die den mIRC-Client anpassen. Es gibt mehrere Optionen, z. B. die Benutzeridentität ist auf "kazimas" eingestellt, und die zusätzliche Skriptdatei SCRPT.INI ist in automatisch ausgeführten Skripts enthalten.

Die SCRPT.INI-Datei, die vom Wurm fallen gelassen wird, enthält mehrere Anweisungen, die einen Benutzer zum "Chat2K" -Kanal schalten, Nachrichten dorthin senden, und das Wichtigste: an den Kanal die Wurmkopie senden (das C: WINDOWSKAZIMAS. EXE-Datei).

Der Wurm überschreibt auch die Datei C: AUTOEXEC.BAT mit Anweisungen, die die Wurmkopien wiederherstellen (wenn sie gelöscht werden) und die Ausführung:

@ Kopie c: windowsssystempsys.exe c: windskazimas.exe> ​​nul

@ Kopie c: windskazimas.exe c: kazimas.exe> ​​nul

@c: kazimas.exe> ​​nul

@ kls