BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Email-Worm.VBS.HappyTime

Sınıf Email-Worm
Platform VBS
Açıklama

Teknik detaylar

Bu Internet solucanı, MS Outlook Express'in yanı sıra MSMAPI hizmetini kullanarak e-posta iletilerinde yayılır. Solucan, Visual Basic Script dilinde (VBS) yazılmıştır.

Solucan bir bilgisayara bir HTML formatında e-posta mesajı olarak veya ekli bir HTML dosyasına sahip düz metin mesajı olarak gelir. İlk durumda, HTML mesajı gövdesindeki komut dosyası kodu, mesaj açıldığında otomatik olarak yürütülür ve solucan kontrol kazanır. Diğer durumda, bir kullanıcı solucanı etkinleştirmek için ekli HTML dosyasını açmalı (üzerine çift tıklayın).

Aktif hale getirildikten sonra solucan hemen yayılmaya başlamaz; ancak bir bilgisayara bulaşmaya başlar.

Masaüstü duvar kağıdını içinde solucan kodunu içeren bir HTML dosyası ile değiştirir. Masaüstü enfeksiyondan önce bir arka plan resmi varsa, bu resim virüs bulaşan HTML'nin arka planı olarak gösterilir ve çoğu durumda, kullanıcının duvar kağıdının değiştirilmiş olduğu belli olmaz; bu nedenle, solucan her masaüstünde (örneğin, Windows başlangıcında) görüntülendiğinde veya yenilenirken kontrol eder.

Ayrıca, solucan, Windows klasörünün "WEB" alt klasöründeki tüm .HTT dosyalarını bozar. Windows, Web modunu etkinleştirdiğinizde Explorer'da görüntülenen bazı klasörleri özelleştirmek için bu dosyaları kullanır (örneğin, Program Files klasörü). Bu dosyaların enfeksiyonu, belirli bir klasörün her görüntülendiğinde solucan kodunun yürütülmesine neden olur.

Solucan her seferinde kontrol kazanırsa, HTM, HTML, ASP ve VBS uzantılarına sahip dosyaları arar ve onları enfekte eder (bu dosyalara kendi kodunu ekleyin) – her seferinde bir dosya. Bir süre sonra, bir bilgisayardaki tüm bu dosyalar virüs bulaşır.

Solucan ayrıca, Outlook Express'in oluşturduğu mesajları HTML formatında zorlamak için MS Outlook Express kayıt defteri değerlerini değiştirir ve bunun için ileti örneği kullanır. Bu şekilde solucan, Outlook Express kullanılarak oluşturulan mesajlara yayılır. Outlook Express her yeni ileti oluşturduğunda, ileti örneği şablonlarından birini kullanır (yalnızca solucan tarafından etkilenen HTML dosyaları – yukarıya bakın); böylece solucanın betiği otomatik olarak bir mesaj girer.

Her çalışma sırasında, solucan sistem kayıt defterinde bir sayaç artırır ve 366 değerine ulaştığında, solucan iki yayılma rutininden birini çalıştırır.

İlk yordam, MS Outlook adres defterinden e-posta adresleri toplar ve tüm toplanan adreslere virüslü iletiler gönderir.

İkinci rutinde Gelen Kutusu klasöründeki tüm iletiler listelenir ve bulunan her iletide "yanıt" yaratılır ve gönderilir, konu "Fw:" ve orijinal iletinin konusuydu.

Her iki rutin de mesaj göndermek için MSMAPI servisini kullanır.

Virüs bulaşmış bir mesajın metni yoktur, ancak içindeki solucan kodunu içeren "Untitled.htm" ekli dosyasına sahiptir.

Gün ve ayın toplamı 13 ise, solucan EXE ve DLL dosyalarını arar ve her seferinde bir dosyayı siler.


Orijinaline link