Email-Worm.Win32.Kiray

Teknik detaylar

Bu, Microsoft Outlook'u kullanarak Internet üzerinden yayılan bir solucan virüsüdür. Solucan ekli dosya Kiray.EXE ile bir e-posta mesajı olarak görünür.

EXE dosyası çalıştırıldığında solucan, sistem kayıt defterindeki bazı anahtarları değiştirir:

HKCRexefileshellopencommand
"" = "C: windowstempKiray.exe"

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer
NoDesktop = 1
NoDrives = 1

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesNetwork
NoNetSetup = 1

Bu, herhangi bir EXE dosyasını çalıştırırken solucanın rutinini çalıştırmasına izin verir ve sistemi yeniden başlattıktan sonra, "Masaüstü" öğesindeki tüm simgeler ve "Bilgisayarım" dan simgeler diske gizlenir.

Sonra solucan, Outlook adres defterindeki tüm alıcılara mesajlar oluşturarak kendisini e-posta yoluyla yaymak için MAPI kullanıyor:

Konu: Lütfen savaşı barış yapmayın
Vücut mesajı: Lamers ve Idiots Oyunu
Eklenti: Kiray.exe

Solucan ayrıca sistem kayıt defterinde kayıtlı olan Windows Adres Defteri'ni (WAB) kontrol etmeye çalışır:
HKEY_CURRENT_USERSoftwareMicrosoftWAB

Son olarak solucan, aşağıdaki dizinlerdeki tüm dosyaları kaldırmaya çalışır:

c: windows *. * c: windowssystem *. * c: Program FilesMicrosoft Office *. * c: Program FilesInternet Explorer *. *

Solucan sadece kullanıcı tarafından C: WINDOWSTEMP dizinine kaydedilirse tam işlevlidir. Aksi takdirde, solucan eki olmadan solucanın mesajı gönderilir, solucan bulaşmış makineden doğru şekilde yayılamaz. dosya.