Email-Worm.Win32.Fix2001

Teknik detaylar

Bu, Internet üzerinden yayılan bir virüs solucanı. "Happy99" solucanına benzer şekilde çalışır: Kendini sisteme yükler, Internet erişimi Windows işlevlerini kancalar, kopyalarını gönderdiği yere internet adresleri alır. Solucan WinNT altında değil, sadece Win9x altında hatalar ve çoğalır.

Solucan, bir e-posta mesajına eklenmiş bir "Fix20001.Exe" dosyası olarak görünür. Mesajda "İnternet problemi 2000 yılı" konusu var. ve mesaj metni iki dilde yazılmıştır: İngilizce ve İspanyolca:

Estimado Cliente:

Sistemsel Operasyonel para el Rogamos gerçek zamanlı y / o verificar

Internet üzerinden bir düzeltme internet sitesi.

Ud. Windows 95/98 puede hacerlo mediante el es ustası

Microsoft (C) Llamado -Fix2001-que se

en estera en este E-posta o bien puede ser descargado

WEB de Microsoft (C) HTTP / WindowsW.MICROSOFT.COM

Si Ud. es usuario de otros Sistemas Operativos, por favor, hayır

deje de consultar con ve saygılar soportes tecnicos.

Muchas Gracias.

Administrador.

İnternet Müşterisi:

Operasyon Sisteminizi (ler) önce doğrularsanız seviniriz.

2000 yılı İnternet Bağlantılarınızla ilgili sorunları önlemek için.

Windows 95/98 kullanıcısıysanız, sisteminizi kontrol edebilirsiniz.

Bu e-postaya ekli Fix2001 uygulamasını kullanarak

veya Microsoft (C) WEB sitesinden indirerek:

HTTP://WWW.MICROSOFT.COM

Başka bir Operatif Sistem kullanıyorsanız, lütfen beklemeyin

2000 yılına kadar, OS Teknik Desteğinize danışın.

Teşekkürler.

Yönetici.

Solucan ayrıca bir e-posta iletisinde eklenmiş verileri oluşturmak ve göndermek için kullanılan metin dizelerini ve ayrıca metinleri içerir:

RCPT TO: 

@ Hotmail.com>

@ Ciudad.com.ar>

Fix2001

MUTLU BİR YAŞAM İÇİN GERÇEK ANAHTAR, IS: İYİ BİR MAN OLMAKTIR.

PARA CONSEGUIR LA VERDADERA FELICIDAD, SE UN TIPO BUG.

Kurulum

Ekli dosya (solucanın kendisi) yaklaşık 12Kb uzunluğunda bir Windows yürütülebilir dosyasıdır. Yürütüldüğünde, kendisini FIX2001.EXE adıyla sistem Windows dizinine yükler ve her Windows yeniden başlatıldığında kopyasını etkinleştirmek için kendisini "Çalıştır =" sistem kayıt defteri anahtarına kaydeder:

HKEY_LOCAL_MASHINESoftwareMicrosoftWindowsCurrentVersionRun

Fix2001 = "FIX2001.EXE"

Solucan, aktivitesini gizlemek için aşağıdaki sahte mesajı görüntüler:

Yayma

Kurulan FIX2001.EXE kopyasından çalıştırıldıktan sonra, solucan kendini "AMORE_TE_AMO" tanımlama Penceresinin başlığı ile bir sistem hizmeti süreci (penceresini gizlemek ve kullanıcı oturumunu aktif tutmak) olarak kaydeder; WSOCK32.DLL Internet bağlantı kitaplığına erişim kazanır; “connect” ve “send” işlevlerinin adreslerini alır; solucanın fahişelerine çağrı talimatları ile onları yamalar; Windows belleğinde gizli uygulamalar olarak kalır.

İnternet bağlantısı etkinleştirildiğinde, solucan gönderilen ve alınan verileri tarar, buradan İnternet adresleri alır ve bu adreslere virüslü mesajlar gönderir.

Taşıma kapasitesi

Solucan, solucan gövdesindeki metin dizgileri yandığında veya bozulduğunda aktive edilen çok tehlikeli bir yüke sahiptir (bu mümkün, çünkü veri internet kanalları üzerinden aktarılır). Bu şekilde, solucan C: COMMAND.COM dosyasını bir DOS Trojan'ının üzerine yazar ve bir sonraki bilgisayar yeniden başlatıldığında sabit sürücüdeki tüm verileri siler.