Email-Worm.VBS.DragonBall

Класс Email-Worm
Платформа VBS
Описание

Technical Details

Интернет-червь представляет собой скрипт, написанный на VBS, и рассылается в письмах электронной почты и по каналам IRC. Для этого он использует MS Outlook и IRC. Червь содержит несколько фатальных ошибок, из-за чего он не
может распространяться.

При запуске скрипта он создает свои копии в системных каталогах:

C:WindowsWinsock.vbs
C:WindowsSysdir.vbs
C:WindowsSystemmillioner.vbs
C:WindowsSystemDragonBall.vbs
C:WindowsSystemDragonBall.cab

А также создает три скрипта в каталоге, где установлен IRC:

C:mIRCmirc.ini
C:mIRCscript.ini
C:mIRCupdate.ini

Скрипты для IRC призваны для того, чтобы червь мог рассылать себя по каналам IRC. Поскольку имена каталогов “C:Windows” и “C:mIRC” прописаны
в теле червя, он не сможет выполнить эти процедуры, если операционная система и IRC установлены в другие каталоги.

После этого червь изменяет несколько ключей системного реестра и файла WIN.INI. Он создает два ключа в реестре:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
“winsock2.0″=”C:\Windows\winsock.vbs”

[HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
“sysup”=”C:\Windows\sysdir.vbs”

и изменяет значение двух параметров в файле WIN.INI:

[windows]
load=C:WindowsSystemDragonBall.vbs
run=C:WindowsSystemmillioner.vbs

Таким образом, червь всегда будет запускаться на выполнение при каждом старте операционной системы. Кроме этого он изменяет еще два ключа в системном реестре:

[HKLMSoftwareMicrosoftWindowsCurrentVersion]
“RegisteredOwner”=”Dragon Ball Z by YuP”

[HKCUSoftwareMicrosoftInternet ExplorerMain]
“Start
Page”=”http://bdball.metropoli2000.net/fotos/imagenes/sa
gas/foto7_40.jpg”

Это приводит к тому, что при запуске Internet Explorer’а всегда будет показываться картинка с указанного в реестре сайта.

Затем червь активизирует процедуру собственного распространения. Для этого он открывает адресную книгу MS Outlook, и для каждого встреченного адреса создает письмо следующего содержания:

Тема: Hello ;]
Текст: Hi , check out this game that j sent you (funny game from the net:]).
Вложение: dragonball.vbs

К каждому письму червь пытается приклеить файл со своим телом. Ввиду того, что в теле червя содержатся ошибки, процедура рассылки неработоспособна, и поэтому червь не может распространяться по электронной почте.

В завершение всего червь выводит дилоговое окно:

Dragon Ball Z by YuP
 Thank you,and bye bye DragonWorld!!!
 [ OK ]

Узнай статистику распространения угроз в твоем регионе