Email-Worm.JS.Astrology

Класс Email-Worm
Платформа JS
Описание

Payload

При помощи приложения MS Outlook червь рассылает всем адресатам из адресной книги письмо с темой «Astrology Report» и текстом «Click on the attached link to see your personal astrology report or visit the website directly». В качестве вложения к письму прикрепляется файл «astrolink.js», содержащий тело червя.

Затем червь дублирует свое тело под разными именами (в зависимости от языковой версии ОС):

C:Program FilesKazaaMy Shared Folderavrilnakedpicslinks.js
C:Program FilesKazaa LiteMy Shared Folderavrilnakedwebsite.js
C:Program FilesBearShareSharedavrilnaked.js

или

C:ProgrammeKazaaMy Shared Folderavrilnakedpicslinks.js
C:ProgrammeKazaa LiteMy Shared Folderavrilnakedwebsite.js
C:ProgrammeBearShareSharedavrilnaked.js

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

  1. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  2. Удалить следующие файлы:
    C:WindowsStartmenuProgramsStartUpstart.js
    C:Program FilesKazaaMy Shared Folderavrilnakedpicslinks.js
    C:Program FilesKazaa LiteMy Shared Folderavrilnakedwebsite.js
    C:Program FilesBearShareSharedavrilnaked.js

    или

    C:WindowsStartmenuProgrammeAutostartstart.js
    C:ProgrammeKazaaMy Shared Folderavrilnakedpicslinks.js
    C:ProgrammeKazaa LiteMy Shared Folderavrilnakedwebsite.js
    C:ProgrammeBearShareSharedavrilnaked.js
  3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Technical Details

Почтовый червь. Рассылает себя по всем найденным в адресной книге MS Outlook на зараженном компьютере адресам электронной почты. Размер червя — 2541 байт.

Данная вредоносная программа работает только на англоязычной и германоязычной ОС Windows.

Инсталляция

В зависимости от языковой версии установленной операционной системы Windows — английской или немецкой, — червь копирует свое тело под именем «start.js» в соответствующую папку автозагрузки:

C:WindowsStartmenuProgramsStartUpstart.js

или

C:WindowsStartmenuProgrammeAutostartstart.js