CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Email-Worm.Win32.Atirus

Classe Email-Worm
Plateforme Win32
Description

Détails techniques

Il s'agit d'un ver Win32 qui se propage en s'envoyant par courrier électronique aux destinataires dans le carnet d'adresses Outlook d'une victime.

Lorsqu'il est lancé sur un PC «propre», le ver se copie dans% SYSTEM% Setup30.exe. Le ver écrit également une clé de démarrage automatique, il se lance donc à chaque démarrage de Windows:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Kernel Setup =% SYSTEM% Setup30.exe

Ensuite, le ver suspend pendant 5 minutes, puis lance l'une de ses charges en fonction de l'heure système:

Lundi: trouve et supprime I-Worm.Badtrans

Mardi: restaure les valeurs par défaut dans Win.ini:
[les fenêtres]
Exécuter =
Charger =

et définit la valeur de clé de registre suivante:

HKCRexefileshellopencommand
Valeur par défaut = "% 1"% *

Mercredi: trouve et supprime I-Worm.PrettyPark

Jeudi: supprime les fichiers suivants s'ils existent:

c: mircmirc.ini
c: mircscript.ini
c: mirc32mirc.ini
c: mirc32script.ini
c: ircmirc.ini
c: ircscript.ini
c: chatmirc.ini
c: chatscript.ini
c: progra ~ 1mircmirc.ini
c: progra ~ 1mircscript.ini
c: progra ~ 1mirc32mirc.ini
c: progra ~ 1mirc32script.ini
c: progra ~ 1ircmirc.ini
c: progra ~ 1ircscript.ini

Vendredi: trouve et supprime I-Worm.Sircam.c

Samedi: restaure les valeurs par défaut dans System.ini:
[démarrage]
Shell = explorer.exe

Dimanche: recherche et supprime tous les fichiers avec une extension ".vbs" dans les dossiers% WINDOWS% et% SYSTEM%.

Le 16 septembre, affiche le message suivant:

Antivirus 
Système protégé par I-Worm.Antivirus
Copyright (c) 2001 par aLL3gRo

Après l'exécution de la charge utile, le ver vérifie si la valeur de registre suivante est présente:

HKLMSoftwareMicrosoftWindowsCurrentVersion Installer = 1

Si la valeur n'existe pas, le ver tente de s'envoyer aux expéditeurs des messages qui existent dans les dossiers du client MAPI par défaut.

Le sujet du message envoyé est "Nouvel outil antivirus", et le message contient également la pièce jointe "Antivirus.exe" qui est le virus lui-même, et contient également dans le corps:

Hey, vérifiez ce nouvel outil antivirus qui vérifie votre système pour les virus


Lien vers l'original