IRC-Worm.DOS.Kazimas

Detalles técnicos

Este es un gusano de virus IRC que se propaga a través de canales mIRC. Aparece como un archivo MILBUG_A.EXE DOS EXE de aproximadamente 10 Kb de longitud. Cuando se ejecuta, se copia en varios directorios de disco con diferentes nombres:

C: WINDOWSKAZIMAS.EXE

C: WINDOWSSYSTEMPSYS.EXE

C: ICQPATCH.EXE

C: MIRCNUKER.EXE

C: MIRCDOWNLOADMIRC60.EXE

C: MIRCLOGSLOGGING.EXE

C: MIRCSOUNDSPLAYER.EXE

C: GAMESSPIDER.EXE

C: WINDOWSFREEMEM.EXE

El gusano infecta el cliente mIRC instalado en el directorio C: MIRC: crea un nuevo archivo de script SCRPT.INI y sobrescribe el archivo de configuración MIRC.INI. Si el cliente mIRC está instalado en cualquier otra ruta, el gusano no puede infectarlo.

El gusano modifica los archivos MIRC.INI que personalizan el cliente mIRC. Hay varias opciones configuradas, por ejemplo, la identidad de un usuario se establece en "kazimas", y el archivo de script adicional SCRPT.INI se incluye en las secuencias de comandos de ejecución automática.

El archivo SCRPT.INI, eliminado por el gusano, contiene varias instrucciones que cambian a un usuario al canal "Chat2K", envía mensajes allí, y lo más importante: envía al canal la copia del gusano (el C: WINDOWSKAZIMAS. Archivo EXE).

El gusano también sobrescribe el archivo C: AUTOEXEC.BAT con instrucciones que restauran las copias del gusano (si se borran) y la ejecución:

@copy c: windowssystempsys.exe c: windowskazimas.exe> ​​nul

@copy c: windowskazimas.exe c: kazimas.exe> ​​nul

@c: kazimas.exe> ​​nul

@cls