Email-Worm.JS.Sigbug

Technical Details

Почтовый HTML-червь. Несанкционированно рассылает себя по всему списку адресной книги. Ежегодно 31 мая в системах класса Win9x отключает графический интерфейс пользователя.

Имеет размер 1889 байт. Написан на языке JavaScript.

Инсталляция

При инсталляции вирус копирует себя под следующим именем:

C:Recycledstacey.htm

Payload

Червь заменяет подписи писем, отправляемых посредством приложения Outlook Express, при помощи следующих действий:

1. Разрешает использование подписей из внешних файлов:
   [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0]
   “Signature Flags” = “3”
2. Дает команду Outlook Express использовать подпись под номером «00000000»:
   [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0signatures]
   “Default Signature” = “00000000”
3. Устанавливает ключ системного реестра, который позволяет загружать подпись «00000000» из вредоносного файла:
   [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0signatures0000000]
   “name” = “Signature #1”
   “type” = “2”
   “text” = “”
   “file” = “C:RECYCLEDSTACEY.HTM”

   При помощи Outlook Express червь рассылает на все имеющиеся в адресной книге адреса письмо, темой которого является фраза “Check This Out!”, а телом — текст из файла «C:Recycledstacey.htm».

   Затем устанавливается ключ, указывающий на то, что рассылка была произведена успешно:

   [HKCUSoftwareJS.Stacey]
   "Mailed" = "Yup!"

   При каждом запуске названной почтовой программы и открытии зараженного письма червь проверяет текущую дату, и 31 мая каждого года в системах класса Win9x отключает графический интерфейс пользователя.

   Removal instructions

   Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

   1. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
   2. Удалить следующие ключи системного реестра:

      [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0]
      “Signature Flags” = “3”

      [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0signatures]
      “Default Signature” = “00000000”

      [HKCUIdentities%ID_пользователя%SoftwareMicrosoftOutlook Express5.0signatures 00000000]
      “name” = “Signature #1”
      “type” = “2”
      “text” = “”
      “file” = “C:RECYCLEDSTACEY.HTM”

      [HKCUSoftwareJS.Stacey]

   3. Удалить файл:

      C:Recycledstacey.htm

   4. Изменить в Outlook Express настройки автоматически подставляемой подписи.
   5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).