Virus.VBS.Monopoly

Technische Details

Ein anderer Melissa-ähnlicher Wurm. Es verbreitet sich per E-Mail mit MS Outlook-Client. Der Hauptunterschied zwischen den beiden Würmern besteht darin, dass dieser in Visual Basic Script statt in MS Office-Makrosprache geschrieben ist. Der Großteil seines Codes ist verschlüsselt, um die Analyse zu erschweren.

Der Virus kommt als E-Mail-Nachricht mit einer angehängten Datei "MONOPOLY.VBS" auf einem Computer an. Wenn diese Datei (die VBScript enthält) ausgeführt wird, erstellt sie eine Image-Datei "MONOPOLY.JPG" in einem temporären Ordner. Es erstellt auch zwei weitere Dateien "MONOPOLY.WSH" und "MONOPOLY.VBE". Die VBE-Datei enthält verschlüsseltes VBScript und wird mit einer WSH-Datei ausgeführt.

Wenn VBE ausgeführt wird, zeigt es die Nachricht an:

Bill Gates ist des Monopols schuldig. Hier ist der Beweis

Dann zeigt es Bild aus der Bilddatei an. Das Bild zeigt Bill Gates Gesicht auf einem Monopoly-Spielbrett.

Die Verbreitungsroutine des Wurms ist der Routine des "Melissa" -Virus sehr ähnlich. Worm sendet sich an jede Adresse aus dem Outlook-Adressbuch. Die Nachricht enthält die angehängte Datei "MONOPOLY.VBS".

Gegenstand:

Bill Gates Witz

Text:

Bill Gates ist des Monopols schuldig. Hier ist der Beweis. :-)

Warm sendet auch eine weitere Nachricht an folgende Adressen:

monopoly@mixmail.com, monpooly@telebot.com, mooponly@ciudad.com.ar,

mloponoy@usa.net, yloponom@gnwmail.com

In dieser Nachricht sendet der Wurm eine Liste mit Namen und Adressen aus einem Outlook-Adressbuch, ICQ-UIN-Dateien und Informationen aus der Windows-Registrierung:

• Registrierter Benutzername und Organisation
• Name des Netzwerkcomputers
• DVD-Region
• Länder- und Ortsvorwahl
• Sprache
• Windows-Version
• Internet Explorer Startseite

Nach all dem ändert der Wurm die Systemregistrierung:

"HKEY_LOCAL_MACHINEESoftwareOUTLOOK.Monopoly" = "True"

Auf diese Weise markiert der Wurm einen Computer und sendet beim nächsten Mal keine Nachrichten von diesem Computer.