IRC-Worm.VBS.Evion

Détails techniques

IRC-Worm.Evion Evion est un ver IRC se propageant via des canaux IRC. Le virus est écrit dans Visual Basic Script (VBS). Il écrase les fichiers .vbs et .html sur tous les lecteurs locaux et mappés.

Installation:
Lorsque le ver est exécuté, il fait ce qui suit:

Evion crée des copies de lui-même dans le répertoire racine du disque C: dans le fichier "Win32 Strt.exe.vbs" et dans le fichier du répertoire système "BootLoader.exe.vbs" ainsi que dans le répertoire racine de Windows dans les fichiers "Blagues" .htm "et" Winupdate.exe "

Evion écrase ces fichiers existants avec une copie de lui-même:

 % Windir% Readme.htm
 % Windir% Htmlhelp.htm
 % System% Winhelp32.exe
 % Mirc% script.ini

Evion enregistre les fichiers "BootLoader.exe.vbs" et "Win32 Strt.EXE" dans la chaîne de lancement automatique du registre système:

 HKEY_LOCAL_MACHINEMicrosoftWindowsCurrentVersionRun - (BootLoader.exe.vbs)
 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices - (Win32 Strt.EXE)

Diffusion
Evion recherche tous les fichiers .vbs et écrase les fichiers .vbs existants avec une copie de lui-même. Les fichiers portant les extensions .htm, .html, .asp, .htx et .hta sont remplacés par la version .HTML du ver.

Le fichier "Script.ini" est un court programme mIRC qui envoie le fichier % Windir% Jokes.htm à tous ceux qui entrent dans un canal infecté.

Charge utile
Le ver active sa charge utile trois jours différents (15 octobre, 23 novembre et 25 décembre) et affiche une boîte de message avec les textes respectifs suivants:

avec le titre de boîte de message "mon b-day" et le texte "joyeux anniversaire kefi" - 15 octobre
avec le titre de la boîte de message "11/23!" et texte "saint sh * t! c'est 11/23" - 23 novembre
avec le titre de la boîte de message "kefi [rRlf]" et le texte "La religion organisée contrôle le monde" - 25 décembre

Lors de ces jours d'activation de données utiles, le ver crée également 16 fichiers texte dans le dossier de démarrage de Windows. Le nom de fichier utilise le format: StartupEvion (n) .txt, où n est compris entre 0 et 15 (inclus). Ces fichiers contiennent 50 chaînes de texte de texte généré au hasard qui est sélectionné parmi ces trois lignes:

Vous avez fait et vous êtes infecté avec Vbs.Evion par kefi [rRlf] [rRlf] ownz joo bitch Catfish_VX sont lamers. Ce virus a été construit pour qu'ils volent

Les jours autres que ceux sur lesquels la charge s'exécute, un document texte est créé dans le répertoire Windows Desktop. Le nom du fichier utilise le format "Bureau% jour% -% mois% .vir.txt".

Ces fichiers contiennent le texte suivant:

 aujourd'hui, vous n'avez pas connu la charge utile de Vbs.Evion
 Pardon..
 kefi [rRlf]