Email-Worm.Win32.Calposa

Technical Details

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам, и по сети обмена файлами Kazaa.

Червь является приложением Windows (PE EXE-файл), имеет размер около 57K написан на Visual Basic.

Зараженные письма содержат:

Заголовок: Anti-Virus Programs are corrupting your Software!

Текст:

Want to know why you get junk mail? Well Here is proof that AV’s are corrupting your programs
and Sell your Private information to Web Company’s! Why do you think there are so much virus’s
out there? well its these Company’s that spread them and then sell you there product to delete
them! check it out now… (p.s. its attatched)

Имя вложения: ActiveX.exe, или Telnet.exe, или MSWord.exe

Червь активизируется только если пользователь сам запускает зараженные файл (при двойном щелчке на вложении). Затем червь инсталлирует себя в систему и запускает процедуры своего распространения.

Инсталляция

При инсталляции червь копирует себя в систему с именами:

C:WindowsActiveX.exe
C:WindowsSCR.exe
C:WindowsExplorer.exe
C:WindowsTelnet.exe
C:WindowsMSWord.exe
C:WindowsFUCK_AVs.exe
C:Windowsregedit.exe
C:WindowsMixer.exe
C:WINDOWSSystemExplorer.exe

Червь не регистрирует себя ни в ключах авто-запуска системного реестра, ни в какой-либо еще форме.

Рассылка писем

При рассылке зараженных писем червь подключается к MS Outlook и рассылает себя по всем адресам, обнаруженным в адресной книге.

Заражение Kazaa

Червь копирует себя в каталог “C:Program FilesKaZaaMy Shared Folder” с именами:

norton_crack.exe
UT3_full_crack.exe
Windows_Hack.exe
Sims_Patch.exe

В том случае, если этот каталог является каталогом обмена файлами Kazaa, червь способен распространяться по сети Kazaa.

Проявления

При запуске червь выводит сообщение:

В файл “C:WindowsSystem.ini” записывает следующие данные:

[About]
Author = Industry
VXgroup = ANVXgroup (Auxnet)
Virus = ANVX (WIN32.calposa@mm)
Shouts to = Indovirus, mANiAC89, Retro, Iwing, and every one else.
Fuck = Fuck all AV’s, we keep you in a job so give us a bit of slack!
To the rest = ANVX the one and only!

1-го апреля червь уничтожает все файлы в каталогах:

C:Windows
C:WindowsSystem32
C:WindowsSystem
C:Windowsinf
C:Program FilesKazaa

затем уничтожает файл “C:AutoExec.bat” и выводит сообщение:

Industry
…ping? pong!…

16-го февраля выводит картинку с текстом “ANVX by industry”.

2-го апреля червь выводит сообщение:

UH OH WORM!
… Second Release From Industry …