Email-Worm.Win32.XCod

Teknik detaylar

Bu E-posta / IRC solucanıdır. Solucan vücudunun kendisi VisualBasic ile yazılmış Win32 PE EXE dosyasıdır. Solucanın iyi tanımlanması için çok fazla hata var.

Kendisini kopyalar:

C: windowsinstall_.exe
C: windowssystemsysboot_.exe

ve Kayıt Defteri anahtarlarında kendini kaydeder:

HKEY_CLASSES_ROOTexefileshellopencommand
"C: windowssystemsystray_.exe"% 1% *

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
SystemTray = C: Windowssystemsystray_.exe
SystemTray = C: Windowssystemsysboot_.exe

(son satır birinciyle çakışır, bu yüzden ilk satır sistem kayıt defterinde kaybolur).

HKEY_LOCAL_MACHINESoftwareWinsysinfo
Program Adı = X-Coderz
CurrentVersionNumber = X-Coderz.VBS.03.A

(oraya daha fazla çizgi yazmak niyetinde, ancak başarısız).

E-posta ile gönderilen iletiler (aynı zamanda bunu yapamaz) INSTALL_.EXE ekli dosyayı içerir, ileti metni ve konu değişkenlerden seçilir:

Hey
Hey, işler nasıl? Bir Of Bilmeni İstemek İçin Bu E-Posta Yazıyorum
Eklenti Muhtemelen Bulacak Bir Sonraki Posta ile Gönderme Im. Bu fazla
İşe yarar. Yaptım! Yakında görüşürüz

Hey Me Me Yine, Bir Yetişkin İçin Kurulum Programına Gittiniz
Sadece Açık Ekran Koruyucu (Pornografik)

Hey Me Me Yine, Bir Outlook İçin Kurulum Programına Gittiniz
Hızlı Güvenlik Yükseltmesi

Hey Me Onun Tekrar, İşte Bir Microsoft için Kurulum Programı Git
Explorer Patch V7.5 (Birçok Sitede Gerekli)

Hey Me Its Again, İşte Harika Bir Oyun İçin Kurulum Programına Gittiniz
İnternette Buldum, Deneyin!

Hey Me Onun Tekrar, İşte Onun İçin Kurulum Programına Gittiniz
Plug-Ins LIMITED EDITION ile Mükemmel MP3 Çalar

IRC kanallarını yaymak için solucan C: Mirc dizinindeki mIRC istemcisini etkiler. Solucan (başarıyla) SCRIPT.INI dosyasını, "installx2.exe" adıyla solucan kopyasına IRC kanallarına gönderen komutlarla yazar ve oraya da mesajı gönderir:

Bunu görmelisin. Sert çekirdekten bahset, İsa! Bu sapıkça
En iyisi … Bunu görmelisin, sadece bak!

Solucan Norton Anti-Virus veri dosyalarını siler: C: Program FilesNorton AntiVirus * .dat

22 Haziran'da solucan mesaj kutusunu göstermeyi (ama başarısız) amaçlamaktadır:

X-Coderz VBS Virüsü 0.3
X-Coderz Kontrol Aldı

sonra:

X-Coderz ???
Virüsünüzü Sisteminizden Kaldırma

ve sonra:

X-Coderz
FUCK YOU !!!!!!