IRC-Worm.MSWord.Anumps

Détails techniques

Ce ver se propage via les canaux IRC et infecte les documents MS Word. Le virus lui-même est un document Word contenant une macro appelée Mumps.

Installation

Une fois ouvert, le fichier:

• essayez de désactiver le menu Sécurité dans le menu Macro
• désactiver l'interdiction d'activer des macros dans le registre du système Windows
• créer un fichier nommé Mumps.drv dans le répertoire C: Windows et écrit le code de la macro dans ce fichier. Ce fichier est ensuite utilisé pour infecter tous les documents Word ouverts
• enregistrez le document actif sur le disque dur sous les noms suivants:

 C: WindowsFAQ.doc C: Program FilesMicrosoft OfficeOfficeSTARTUPMumps.dot 

• commence la propagation via IRC.

Propagation via IRC

Le ver modifie un fichier nommé fichier script.ini. Cela signifie que le fichier C: WindowsFAQ.doc sera automatiquement envoyé à tous les utilisateurs du canal utilisé par l'ordinateur infecté.

Signes d'infection

Lorsque l'utilisateur essaie d'ouvrir le menu HelpAbout, le ver modifie la couleur d'arrière-plan du document en bleu foncé. Les lettres apparaîtront en blanc. Il ouvre également notepad.exe affichant le texte suivant:

 "Windows a peu de ressources mémoire. Veuillez redémarrer votre Windows ....." 

Si l'utilisateur essaie d'imprimer le document en cours et que l'horloge système affiche 59 secondes, une boîte de message contenant le texte suivant s'affiche:

 "Votre pilote d'imprimante n'est pas compatible avec Windows. Veuillez installer un autre pilote d'imprimante." 

Si l'utilisateur essaie d'afficher le code des macros ou ouvre le menu ToolsMacro, une boîte de message avec le texte suivant s'affichera:

 "Il y a un problème avec cette fonction ..." 

Autre

Le ver tente d'enregistrer C: WindowsFAQ.doc dans le registre système en tant que signature par défaut pour Microsoft Outlook 5.0. Le fichier sera ensuite automatiquement ajouté à tous les messages sortants.