Email-Worm.Win32.Petik

Technical Details

Интернет-червь, представляющий из себя 8Кб EXE-файл и распространяющийся как вложение в электронные письма. При рассылке писем использует MS Outlook. Также передает свои копии в каналы IRC.

Первый запуск

При активизации (двойной щелчок мыши по пложению в письме, или файл-червь запускается пользователем из каталога Download IRC-клиента) червь инсталлирует себя в систему. Он копирует себя в:

системный каталог Windows с именем Wininet32.exe
каталог Windows с именем MadCow.exe

и регистрирует файл MadCow.exe в секции авто-запуска Windows:

в файле WIN.INI, секция [windows], ключ «run=» — под Win9x
в системном реестре в ключе «Run=» — под WinNT

Затем червь создает каталог C:WIN32 и создает в нем два файла (DOS BAT-файл и VBS-скрипт):

ENVOIE.BAT — запускает на выполнение скрипт ENVOIE.VBS
ENVOIE.VBS — рассылает зараженные письма

При рассылке писем скрипт открывает MS Outlook и рассылает себя по всем адресам из адресной книги. Письма имеют:

Subject: Pourquoi les vaches sont-elles folles ?
Body: Voila un rapport expliquant la folie des vaches
Attachment: MadCow.exe

Второй запуск

При втором запуске (при рестарте Windows) червь создает еще одну свою копию с именем MadCow.exe в каталоге C:WIN32 и затем заражает клиента mIRC в каталогах:

C:MIRC
C:MIRC32
C:Program FilesMIRC
C:Program FilesMIRC32

Зараженный mIRC-клиент затем рассылает файл-червь MadCow.exe всем пользователям, подключающимся к зараженному каналу.

Прочее

Червь создает ключ в системном реестре: HKLMSoftware[Atchoum]

Если mIRC-клиент не обнаружен, червь создает файл-иконку
MSLS.ICO в системном каталоге Windows, записывает в нее изображение чертенка и регистрирует ее как стандартную иконку для EXE-файлов.

Червь также содержит строки текста:

IWorm.MadCow par PetiK (c)2000
I Love You Maya / Je t’aime