Email-Worm.VBS.DragonBall

Класс Email-Worm
Платформа VBS
Описание

Technical Details

Интернет-червь представляет собой скрипт, написанный на VBS, и рассылается в письмах электронной почты и по каналам IRC. Для этого он использует MS Outlook и IRC. Червь содержит несколько фатальных ошибок, из-за чего он не
может распространяться.

При запуске скрипта он создает свои копии в системных каталогах:

C:WindowsWinsock.vbs
C:WindowsSysdir.vbs
C:WindowsSystemmillioner.vbs
C:WindowsSystemDragonBall.vbs
C:WindowsSystemDragonBall.cab

А также создает три скрипта в каталоге, где установлен IRC:

C:mIRCmirc.ini
C:mIRCscript.ini
C:mIRCupdate.ini

Скрипты для IRC призваны для того, чтобы червь мог рассылать себя по каналам IRC. Поскольку имена каталогов «C:Windows» и «C:mIRC» прописаны
в теле червя, он не сможет выполнить эти процедуры, если операционная система и IRC установлены в другие каталоги.

После этого червь изменяет несколько ключей системного реестра и файла WIN.INI. Он создает два ключа в реестре:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
«winsock2.0″=»C:\Windows\winsock.vbs»

[HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
«sysup»=»C:\Windows\sysdir.vbs»

и изменяет значение двух параметров в файле WIN.INI:

[windows]
load=C:WindowsSystemDragonBall.vbs
run=C:WindowsSystemmillioner.vbs

Таким образом, червь всегда будет запускаться на выполнение при каждом старте операционной системы. Кроме этого он изменяет еще два ключа в системном реестре:

[HKLMSoftwareMicrosoftWindowsCurrentVersion]
«RegisteredOwner»=»Dragon Ball Z by YuP»

[HKCUSoftwareMicrosoftInternet ExplorerMain]
«Start
Page»=»http://bdball.metropoli2000.net/fotos/imagenes/sa
gas/foto7_40.jpg»

Это приводит к тому, что при запуске Internet Explorer’а всегда будет показываться картинка с указанного в реестре сайта.

Затем червь активизирует процедуру собственного распространения. Для этого он открывает адресную книгу MS Outlook, и для каждого встреченного адреса создает письмо следующего содержания:

Тема: Hello ;]
Текст: Hi , check out this game that j sent you (funny game from the net:]).
Вложение: dragonball.vbs

К каждому письму червь пытается приклеить файл со своим телом. Ввиду того, что в теле червя содержатся ошибки, процедура рассылки неработоспособна, и поэтому червь не может распространяться по электронной почте.

В завершение всего червь выводит дилоговое окно:

Dragon Ball Z by YuP
 Thank you,and bye bye DragonWorld!!!
 [ OK ]