IRC-Worm.VBS.Evion

Teknik detaylar

IRC-Worm.Evion Evion , IRC kanalları üzerinden yayılan bir IRC solucanıdır. Virüs, Visual Basic Script (VBS) ile yazılmıştır. Tüm yerel ve eşlenmiş sürücülerdeki .vbs ve .html dosyalarının üzerine yazar.

yükleme:
Solucan yürütüldüğünde aşağıdakileri yapar:

Evion, "Cd Strt.exe.vbs" dosyasında C diskinin kök dizininde ve "BootLoader.exe.vbs" sistem dizini dosyasında ve "Jokes" dosyalarındaki kök Windows dizininde kendi kopyasını oluşturur. .htm "ve" Winupdate.exe "

Evion, mevcut dosyaları kendi kopyalarının üzerine yazar:

 % Windir% Benioku.htm
 % Windir% Htmlhelp.htm
 % System% WinHelp32.exe
 % Mirc% script.ini

Evion, sistem kayıt defterinin otomatik başlatma dizesinde "BootLoader.exe.vbs" ve "Win32 Strt.EXE" dosyalarını kaydeder:

 HKEY_LOCAL_MACHINEMicrosoftWindowsCurrentVersionRun - (BootLoader.exe.vbs)
 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices - (Win32 Strt.EXE)

Yayma
Evion, tüm .vbs dosyalarını arar ve varolan .vbs dosyalarını kendi kopyalarının üzerine yazar. Uzantıları .htm, .html, .asp, .htx ve .hta olan dosyalar, solucanın .HTML sürümü ile değiştirilir.

"Script.ini" dosyası, % Windir% Jokes.htm dosyasını virüslü bir kanala giren herkese gönderen kısa bir mIRC programıdır.

Taşıma kapasitesi
Solucan yükünü üç farklı günde (15 Ekim, 23 Kasım ve 25 Aralık) harekete geçirir ve aşağıdaki metinleri içeren bir Mesaj Kutusu görüntüler:

Mesaj kutusu başlığı ile "b-day" ve metin "happy birthday kefi" - 15 Ekim
Mesaj kutusu başlığı ile "11/23!" ve metin "kutsal sh * t! it's 11/23" - 23 kasım
Mesaj kutusu başlığı ile "kefi [rRlf]" ve metin "Organize din dünyayı kontrol ediyor" - 25 Aralık

Bu yararlı yükleme etkinleştirme günlerinde solucan, Windows Başlangıç ​​klasöründe 16 metin dosyası oluşturur. Dosya adı formatı kullanır: StartupEvion (n) .txt, burada n 0 ila 15 (dahil) arasındadır. Bu dosyalar, aşağıdaki üç satırdan seçilen rastgele oluşturulmuş bir metin 50 metin dizesi içerir:

Kendinizi Vbs.Evion ile enfekte ettiniz ve kefi [rRlf] [rRlf] tarafından kendi kendine joo kaltak Catfish_VX lameller. Bu virüs onlar çalmak için inşa edildi

Yük yükünün çalıştığı günlerde, Masaüstü Windows dizininde bir metin belgesi oluşturulur. Dosya adı, "Masaüstü% gün% -% ay% .vir.txt" biçimini kullanır.

Bu dosyalar aşağıdaki metni içerir:

 Bugün Vbs.Evion'un yükünü yaşamadım
 afedersiniz..
 kefi [rrlf]