Email-Worm.Win32.Scooter

Technical Details

Вирус-червь, распространяющий свои копии по каналам IRC и зараженные электронные письма при помощи MS Outlook. Является 200-килобайтным EXE-файлом для Windows, написан на Microsoft Visual C++. Был обнаружен «в живом виде» в сентябре 2000 в упакованной форме (размер около 170K,
паковщик — PECompact).

Является «родственником» вируса-червя «Scrambler».

При запуске зараженного файла червь создает свою копию в системном каталоге Windows. Этот файл имеет случайное имя из пяти символов, например: HIJDE.EXE. Этот файл затем используется для заражения IRC-каналов и рассылки инфицированных писем.

Для рассылки себя в каналы IRC заражает клиента mIRC. Для этого червь ищет mIRC-клиента в каталогах:

mirc
PROGRA~1mirc

на всех дисках от C: до F: и записывает туда новый файл SCRIPT.INI. Этот файл содержит команды, которые отсылают копию червя всем, кто подключается к зараженному каналу.

Затем червь рассылает зараженные письма электронной почты. Для этого червь создает временный файл SCOOTER.VBS, записывает в него скрипт-программу, выполняет этот файл и уничтожает его. VBS-программа при запуске открывает
MS Outlook, выбирает первые 90 адресов из адресной книги и рассылает по ним «дроппер» червя. Текст сообщения в зараженных письмах отсутствует, а поле «Subject» выглядит следующим образом:

Faster.. harder.. your PC will run like a scooter!

Для того, чтобы предотвратить повторную рассылку, червь создает файл SCOOTER.SYS в системном каталоге Windows и, если такой файл присутствует, не рассылает зараженные письма. В этот файл записывается текст:

Faster.. harder.. scooter!’

Для того, чтобы скрыть свою активность, червь создает звуковой файл SCOOTER.MP3 и открывает его для проигрывания.