CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

IRC-Worm.VBS.Evion

Classe IRC-Worm
Plateforme VBS
Description

Détails techniques

IRC-Worm.Evion Evion est un ver IRC se propageant via des canaux IRC. Le virus est écrit dans Visual Basic Script (VBS). Il écrase les fichiers .vbs et .html sur tous les lecteurs locaux et mappés.

Installation:
Lorsque le ver est exécuté, il fait ce qui suit:

Evion crée des copies de lui-même dans le répertoire racine du disque C: dans le fichier "Win32 Strt.exe.vbs" et dans le fichier du répertoire système "BootLoader.exe.vbs" ainsi que dans le répertoire racine de Windows dans les fichiers "Blagues" .htm "et" Winupdate.exe "

Evion écrase ces fichiers existants avec une copie de lui-même:


 % Windir% Readme.htm
 % Windir% Htmlhelp.htm
 % System% Winhelp32.exe
 % Mirc% script.ini

Evion enregistre les fichiers "BootLoader.exe.vbs" et "Win32 Strt.EXE" dans la chaîne de lancement automatique du registre système:

 HKEY_LOCAL_MACHINEMicrosoftWindowsCurrentVersionRun - (BootLoader.exe.vbs)
 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices - (Win32 Strt.EXE)

Diffusion
Evion recherche tous les fichiers .vbs et écrase les fichiers .vbs existants avec une copie de lui-même. Les fichiers portant les extensions .htm, .html, .asp, .htx et .hta sont remplacés par la version .HTML du ver.

Le fichier "Script.ini" est un court programme mIRC qui envoie le fichier % Windir% Jokes.htm à tous ceux qui entrent dans un canal infecté.

Charge utile
Le ver active sa charge utile trois jours différents (15 octobre, 23 novembre et 25 décembre) et affiche une boîte de message avec les textes respectifs suivants:


avec le titre de boîte de message "mon b-day" et le texte "joyeux anniversaire kefi" - 15 octobre
avec le titre de la boîte de message "11/23!" et texte "saint sh * t! c'est 11/23" - 23 novembre
avec le titre de la boîte de message "kefi [rRlf]" et le texte "La religion organisée contrôle le monde" - 25 décembre

Lors de ces jours d'activation de données utiles, le ver crée également 16 fichiers texte dans le dossier de démarrage de Windows. Le nom de fichier utilise le format: StartupEvion (n) .txt, où n est compris entre 0 et 15 (inclus). Ces fichiers contiennent 50 chaînes de texte de texte généré au hasard qui est sélectionné parmi ces trois lignes:

Vous avez fait et vous êtes infecté avec Vbs.Evion par kefi [rRlf] [rRlf] ownz joo bitch Catfish_VX sont lamers. Ce virus a été construit pour qu'ils volent

Les jours autres que ceux sur lesquels la charge s'exécute, un document texte est créé dans le répertoire Windows Desktop. Le nom du fichier utilise le format "Bureau% jour% -% mois% .vir.txt".

Ces fichiers contiennent le texte suivant:

 aujourd'hui, vous n'avez pas connu la charge utile de Vbs.Evion
 Pardon..
 kefi [rRlf]


Lien vers l'original