Virus.VBS.Monopoly

Класс Virus
Платформа VBS
Описание

Technical Details

Вирус-червь, использующий MS Outlook для распространения своих копий через
электронную почту. Основное отличие этого червя от предыдущих («Melissa» и «Papa») — использование скрипта Visual Basic вместо макроязыка документов
MS Office.

Червь дважды зашифрован, чтобы усложнить его анализ.

Червь «прибывает» на компьютер в сообщении электронной почты в виде файла
«MONOPOLY.VBS». Если этот файл, содержащий скрипт Visual Basic (VBScript),
запустить на выполнение, он создает во временном каталоге файл-картинку
«MONOPOLY.JPG», файл «MONOPOLY.VBE», содержащий зашифрованный VBScript и
файл «MONOPOLY.WSH», который используется чтобы запустить VBE-файл.

Будучи запущенным VBScript из VBE-файла выводит на экран сообщение:


Bill Gates is guilty of monopoly. Here is the proof

Затем он показывает картинку, на которой изображено лицо Билла Гейтса на
фоне поля игры «Монополия».

Процедура распространения этого червя почти такая же как процедура из вируса
«Melissa» — червь рассылает свои копии на все адреса из
адресно книги Outlook. Рассылаемое сообщение содержит файл «MONOPOLY.VBS».

Тема сообщения:


Bill Gates joke

Текст сообщения:


Bill Gates is guilty of monopoly. Here is the proof. 🙂

Червь отсылает еще одно сообщение на адреса:


monopoly@mixmail.com, monpooly@telebot.com, mooponly@ciudad.com.ar,
mloponoy@usa.net, yloponom@gnwmail.com

В этом сообщении червь отправляет адреса из адресной книги Outlook, UIN файлы
программы ICQ а также информацию из системного реестра Windows:

  • Имя пользователя и организация на которого зарегистрирована Windows
  • Сетевое имя компьютера
  • DVD регион
  • Телефонный код страны и города(района)
  • Язык
  • Версия Windows
  • Начальная страница Internet Explorer

После этого червь изменяет системный реестр:


«HKEY_LOCAL_MACHINESoftwareOUTLOOK.Monopoly» = «True»

Таким образом он оставляет отметку на компьютере и будучи запущенным на этом
компьютере в следующий раз не рассылает никаких сообщений.