I-Worm.Pawur.a

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь является приложением Windows (PE EXE-файл), имеет размер около 51КБ (упакован UPX, размер распакованного файла - около 70КБ).

Инсталляция

После запуска червь может вывести на экран следующее окно:

Заголовок:

Error interno

Текст сообщения:

Documento interno danado, reinstale la aplication asociada para poder visualizarlo
Mas informacion http:/ /www.microsoft.com El programa so cerrara.

При инсталляции червь копирует себя в системный каталог Windows под именем "Command.pif" и регистрирует этот файл в ключе автозагрузки системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
  "Messenger6"="%WinSysDir%\command.pif"

Далее червь создает в системном каталоге Windows и запускает файлы "Paula.pif" и "Svchosl.pif" и создает запись в системном реестре:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
  "Svchost"="%System%\svchosl.pif"

После запуска "Paula.pif" создает следующие файлы в системной папке Windows:

m.zip - содержит копию вируса
 ss.exe - программа-шутка
 sz.exe - не является вредоносной программой
 sx.exe и sw.exe - компоненты червя

Распространение через email

Червь рассылает по всем найденным на зараженном компьютере адресам электронной почты созданный им zip файл в виде вложения.

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

Характеристики зараженных писем

Тема письма:

Выбирается произвольным образом из списка:

re:Amor verdadero
 re:Como el aire...
 re:Crees que puede ser verdad?
 re:Dejate de rollos y viv
 re:Eso con queso rima con...xD
 re:La Luna
 re:Neptuno y Mercurio
 re:Psicolog
 re:Voodoo un tanto ps...
 re:xD no me lo puedo creer!!

Текст письма:

Выбирается произвольным образом из списка:

Crees en el amor de verdad?,miralo y ya hablamos,ciaooo
 Esa moribunda y solitaria Luna,Impresionante!chao.
 Mira lo que te mando y ya veras que los detalles mas pequenos
 No comment,xDD ,Nos vemos!!
 No veas que cosas xD,luego me cuentas,chao.
 Que relacion tienen estos planetas?,miralo y luego me cuentas,chao.
 Renvialo a todo que es que se meannn xD,nos vemos!
 Sera cierta la magia negra?,sal de dudas y ya me cuentas,chao.
 son los que importan,ciaoo
 Test para ver si andas bien de las neuronassss!xD,luego hablamos,chao.
 Ver es creer!!!!chaoo.

Имя файла-вложения:

Выбирается произвольным образом из списка:

D-Incognito.zip
 EL_rechazo.zip
 Love-Me.zip
 Moon(Luna).zip
 My life(Mi vida).zip
 Para-Brisas.zip
 Planetario.zip
 Psiquico-Mix.zip
 Rimaz.zip
 Voodoo!.zip

Действие

I-Worm.Pawur.a пытается удалить на зараженном компьютере файлы, имеющие следующие расширения:

asm
 asp
 bat
 bdsproj
 bmp
 c
 css
 doc
 dot
 dpr
 gif
 h
 htm
html
 inf
 ini
 iso
 jpeg
 jpg
 log
 mdb
 mp3
 msi
 nfm
 nrg
 pas
pcx
 pdf
 php
 ppt
 rar
 reg
 rpt
 txt
 vb
 vbs
 wav
 xls