Email-Worm.Win32.Scorpion

Technical Details

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к
зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет
размер около 370K, написан на Delphi.

Червь активизируется только если пользователь сам запускает зараженные файл
(при двойном щелчке на вложении). Червь инсталлирует себя в систему,
регистрируется как системное (скрытое) приложение и рассылает зараженные
письма.

Инсталляция

Червь копирует себя в системный каталог Windows под случайно выбранным из
списка именем:

Play.exe
Bigs as.exe
Zorro.exe
Honey.exe
Jefes.exe
Corte de pelo.exe
Tangas.exe
Canibal.exe
Picadita.exe
Josefina.exe

и регистрирует этот файл в ключе авто-запуска системного реестра:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
Scorpion = %имя файла%

Рассылка писем

Зараженные письма содержат случайно выбираемые заголовки и тексты (см. ниже).
Имя файла также выбирается случайно из приведенного выше списка.

Заголовки:

Sorpresa !!!
Este si que es un buen presente
Diviertanse
Todo debe estar limpio
Echale un ojo a esto
Buena PECHOnalidad
Con todo mi aprecio
El aguijon de Scorpion
Traseros
Mujeres

Тексты:

Abrelo sin miedo que, no es ningun Virus
No tiene ningun Virus
Abrelo no hay PELIGRO, esta limpio de Virus
Mira que bueno esta esto
Espero que esto te guste
Scorpion hace de las suyas
Esto si esta interesante abrelo que no hay peligro
Dime si te gusto
No tiene Virus, asi que abranlo y disfrutenlo
Observa el gran poder de las mujeres en su parte trasera

Для рассылки писем червь использует SMTP-соединение с почтовым сервером, имя
которого считывает из системных установок (из соответствующего ключа
системного реестра).

Почтовые адреса, по которым производится рассылка писем, считываются червем
из адресной книги Windows (WAB — Windows Address Book). Сообщения каждый раз
также рассылаются по адресам:

jajachistes@topica.com
tavojaja@yahoogroups.com
cartones@egroups.com
pensamientos@egroups.com
huateque@egroups.com
jacastro@geoline.net
forodelphi2000@yahoo.com.ar

Червь рассылает письма сразу при старте. Затем, через некоторые промежутки
времени, червь рассылает письма повторно.

Payloads and other

Червь уничтожает все *.INF и *.SYS-файлы во всех каталогах диска, на котором
установлена Windows. В результате система оказывается разрушенной и ее
повторная загрузка Windows оказывается невозможной.

Начиная с сентября и начиная с 15-го числа месяца червь проявляется каким-то
видео-эффектом.

Червь также создает ключи в системном реестре:

HKEY_LOCAL_MACHINESoftwareScorpionHelp
Mail = Negro
Fack = Rojo

Эти ключи означают: 1-й ключ — зараженные письма уже разосланы; 2-й ключ — INI
и SYS-файлы уничтожены.

В зависимости от своих внутренних счетчиков червь закрывает окна активных
приложений, открывает-закрывает CD-диск, мигает индикаторами клавиатуры
Num/Caps/Scroll-lock, выводит 500 сообщений:

Scorpion ya estс aquэ !!!!