Email-Worm.Win32.Tetris

Technical Details

IRC-червь, распространяющийся по IRC-каналам. Представляет из себя приложение Win32 (PE EXE-файл) размера около 70K. Код червя содержит две основные процедуры, обе из которых активизируются при запуске червя. Первая процедура заражает компьютер; вторая процедура эмулирует популярную игру Tetris (для скрытия процесса инсталляции червя в компьютер).

При заражении компьютера червь ищет клиента mIRC в четырех каталогах:

C:Mirc
C:Program Filesmirc
D:mirc
D:Program Filesmirc

Если mIRC-клиент обнаружен, червь создает дополнительные файлы:

C:Windowsscript.bak – mIRC-скрипт (затем будет скопирован в каталог mIRC)
C:backup.vbs – VBS-программа, которая затем завершает заражение компьютера
C:Windowssystem.exe – копия червя

Файл “C:backup.vbs” затем регистрируется в секции авто-запуска системного реестра:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SysFile = C:Backup.vbs

В результате VBS-компонента червя активизируется при каждой загрузке компьютера и завершает инсталляцию червя в систему:

C:Windowsscript.bak копируется в каталог mIRC с именем “script.ini”
C:Windowssystem.exe копируется в файл C:tetris.exe

Файл-скрипт “script.ini” затем отсылает зараженный файл “C:tetris.exe” всем, кто подключается к зараженному IRC-каналу.