Email-Worm.VBS.Scrapworm

Détails techniques

C'est le ver Internet qui a été découvert dans la nature à la mi-juin 2000. Le ver se propage par courrier électronique en envoyant des messages infectés provenant d'ordinateurs affectés. Lors de la propagation, le ver utilise MS Outlook et s'envoie vers des adresses sélectionnées au hasard dans le carnet d'adresses MS Outlook.

Le ver est écrit dans le langage de script "Visual Basic Script" (VBS). Il fonctionne uniquement sur les ordinateurs sur lesquels Windows Scripting Host (WSH) est installé. Dans Windows 98 et Windows 2000, WHS est installé par défaut. Pour se propager, le ver accède à MS Outlook et utilise ses fonctions et ses listes d'adresses. Cela est uniquement disponible dans Outlook 98/2000, de sorte que le ver ne peut se propager que si l'une de ces versions MS Oulook est installée.

Lorsqu'il est exécuté, le ver envoie ses copies par courrier électronique, s'installe dans le système et se copie sur les lecteurs réseau. Le ver a également la capacité de se propager à travers les canaux mIRC.

Le ver contient une chaîne "copyright":

'MIRC / RÉSEAU / OUTLOOK / PIRCH.ShellScrapWorm par SimpleSimon / Zulu

Diffusion

Le ver arrive à un ordinateur sous la forme d'un message électronique avec un fichier SHS joint qui est un paquet de ferraille avec un ver à l'intérieur. Le sujet du message peut être différent et il est combiné à partir de trois ensembles de chaînes:

"Fw:", ""
"Stades de la vie", "Drôle", "Blagues"
" texte", ""

Exemples:

Fw: Blagues
Les étapes de la vie
Texte drôle

Le corps du message peut être vide ou l'un d'entre eux est présent:

> Les étapes masculines et féminines de la vie.
> Les étapes masculines et féminines de la vie. Au revoir.

Le message a le fichier joint "LIFE_STAGES.TXT.SHS" qui contient le ver à l'intérieur.

Selon les paramètres du système, l'extension réelle du fichier joint (".SHS") peut ne pas s'afficher. Dans ce cas, le nom de fichier du fichier joint est affiché sous la forme "LIFE_STAGES.TXT".

En étant activé par un utilisateur (en double-cliquant sur le fichier joint), le package scrap (fichier SHS) active son contenu. Dès que le fichier joint contient le fichier VBS, contenant un programme Visual Basic Script, ce fichier est exécuté et le script du ver prend le contrôle.

Le ver crée un fichier texte dans le répertoire temporaire et l'affiche à l'aide de l'éditeur de texte. Le contenu du fichier est:

– Les étapes masculines de la vie:

Âge. Lignes de séduction
17 Mes parents sont partis pour le week-end.
25 Ma copine est partie pour le week-end.
35 Ma fiancée est parti pour le week-end.
48 Ma femme est partie pour le week-end.
66 Ma deuxième femme est morte.

Âge. Sport préféré.
17 Sexe.
25 Sexe.
35 Sexe.
48 Sexe.
66 Nappe.

Âge. Définition d'une date réussie.
17 Langue.
25 Petit déjeuner.
35 Elle n'a pas abandonné ma thérapie.
48 Je n'ai pas eu à rencontrer ses enfants.
66 Rentré vivant.

– Les étapes féminines de la vie:

Âge. Fantaisie préférée.
17 Grand, sombre et hansome.
25 Tall, dark et hansome avec de l'argent.
35 Grand, sombre et hansome avec de l'argent et un cerveau.
48 Un homme avec des cheveux.
66 Un homme.

Âge. Date idéale
17 Il offre de payer.
25 Il paie.
35 Il prépare le petit-déjeuner le lendemain matin.
48 Il prépare le petit-déjeuner le lendemain matin pour les enfants.
66 Il peut mâcher son petit-déjeuner.

Après cela, le ver ouvre MS Outlook, accède au carnet d'adresses, obtient une centaine d'adresses aléatoires de chaque liste d'adresses et envoie des messages avec sa copie attachée à chacun d'entre eux. L'objet du message, le corps et le nom de fichier joint sont les mêmes que ceux mentionnés ci-dessus.

Le ver s'installe également dans le système. Il crée ses copies dans les répertoires Windows avec les noms:

dans le répertoire Windows: LIFE_STAGES.TXT.SHS
dans le répertoire système Windows: MSINFO16.TLB
dans la corbeille de code: MSRCYCLD.DAT

Ensuite, le ver crée ses copies avec des noms aléatoires dans les répertoires racine de tous les disques durs locaux et également dans les dossiers "Programmes" et "Mes documents". Si un dossier de démarrage Windows existe sur le lecteur réseau, le ver s'y copie.

Le ver dépose aussi des fichiers:

dans le répertoire système Windows: SCANREG.VBS

– ce ver de fichier s'inscrit dans le registre du système dans la section d'exécution automatique pour être exécuté à chaque démarrage de Windows:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesScanReg = "WSCRIPT.EXE SCANREG.VBS"

– le ver crée une copie de ce fichier dans la Corbeille:

RCYCLDBN.DAT

dans le répertoire Windows: DBINDEX.VBS

– ce ver de fichier s'inscrit dans le registre système de la section ICQ pour être exécuté à chaque démarrage d'ICQ:

HKEY_USERS.DEFAULTSoftwareMirabilisICQAgentAppsICQEnable = "Oui"
HKEY_USERS.DEFAULTSoftwareMirabilisICQAgentAppsICQParameters = "C: RECYCLEDDBINDEX.VBS"
HKEY_USERS.DEFAULTSoftwareMirabilisICQAgentAppsICQPath = "WSCRIPT.EXE"
HKEY_USERS.DEFAULTSoftwareMirabilisICQAgentAppsICQStartup = "C: WINDOWS"

– le ver crée une copie de ce fichier dans le répertoire système de Windows:

VBASET.OLB

Par conséquent, le ver est réactivé chaque fois que Windows démarre ou que ICQ démarre.

Diffusion vers les canaux IRC

Le ver analyse les disques locaux et recherche un fichier MIRC.INI. Dans le cas où ce fichier est trouvé dans un sous-répertoire, le ver y dépose un fichier SOUND32B.DLL. Ce fichier contient des instructions mIRC qui envoient une copie de ver (fichier LIFE_STAGES.TXT.SHS) à tous les utilisateurs qui rejoignent le canal IRC infecté. Dans MIRC.INI, le ver de fichier ajoute la référence à SOUND32B.DLL dans la section "rfiles".

Autre

Le ver déplace le programme REGEDIT.EXE dans la corbeille sous le nom RECYCLED.VXD.