Email-Worm.Win32.Salga.a

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также по сетям файлообмена, открытым сетевым ресурсам и IRC-каналам.

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также по сетям файлообмена, открытым сетевым ресурсам и IRC-каналам.

Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь является приложением Windows, имеет размер около 36КБ, упакован MEW. Размер распакованного файла около 307КБ.

Инсталляция

При инсталляции червь копирует себя в папку автозагрузки с именем "egy~1.exe".

C:\Documents and Settings\All Users\Start Menu\Programs\Startup\egy~1.exe

После запуска червь создает различные папки, в которые копирует себя под следующими именами:

%ProgramFiles%\Accessories\BRITNY SPEARS MARRAGE.zip...............exe
%ProgramFiles%\Accessories\Details of new friends.zip...............exe
%ProgramFiles%\Accessories\Details.zip...............exe
%ProgramFiles%\Accessories\hard sex files.zip...............exe
%ProgramFiles%\Accessories\Is Bnladen realy cow boy.zip...............exe
%ProgramFiles%\Accessories\kasper2005.zip...............exe
%ProgramFiles%\Accessories\Nicole Kidman.zip...............exe
%ProgramFiles%\mirc\Britny spears marriage with Bnladen son.zip.exe
%ProgramFiles%\mirc32\Britny spears marriage with Bnladen son.zip.exe
%Windir%\acdsee demo.exe
%Windir%\All Users\Desktop\sex cam\sex photoes of monika.zip.exe
%Windir%\All Users\Start Menu\Programs\StartUp\ana~1.exe
%Windir%\Start Menu\inter net speeder.zip.exe
%Windir%\start menu\programs\new chat prog.zip.exe
%Windir%\system\system copy.exe
%Windir%\system32\egywormo[gen1].exe
C:\Britny spears marrage with Bnladensun.zip
C:\Britny\NEW FILM.ZIP.EXE
C:\Documents and Settings\All Users\DESKTOP\holywood stuff film.zip.exe
C:\Documents and Settings\All Users\Start Menu\nicole kidman sexy cam.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\magic graphices maker.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\your sexy cam.zip.exe
C:\hard core hook from web\setup.zip.exe
D:\FUN.ZIP.EXE
D:\girlfriends emails.zip.exe
D:\hook all sex movies from webs\setup.zip.exe
E:\blood of fetch sex.zip.exe
E:\Messenger 9.00.ZIP.EXE
E:\real sex telephones\me.zip.exe

Затем регистрирует себя в ключе автозапуска системного реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "system xp"="%Windir%\acdsee demo.exe"
  "windows"="%Windir%\system\system copy.exe"

Также червь создает следующие ключи реестра:

[HKEY_CURRENT_USER\Software\Kazaa\Transfer]
  "StartKazaa -SilentRun"="%ProgramFiles%\Kazaa\My Shared Folder\Shared"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Shares]
  "Britny"

Распространение через email

Для поиска адресов жертв червь сканирует адресную книгу MS Outlook и рассылает себя по всем найденным в ней адресам электронной почты.

Характеристики зараженных писем

Червь отправляет два почтовых сообщения, одно из которых отсылается автору вируса, а другое - потенциальной жертве.

Характеристики письма, отправляемого автору вируса:

Адрес получателя:

mgasalgya_4ever@hotmail.com

Тема письма:

Выбирается из списка:

Sir new victem 
 Egywormo give her sir email of victem

Текст письма:

Hi:sir i'm your server Egywormo[gen1] this is new victem who has own outlook machine i caputre his contacts and go there to infect them.... ok i'll go now and see you soon when i infect more ......bibi sir
<password of victem email>

Характеристики письма, отправляемого потенциальной жертве:

Тема письма:

Выбирается из списка:

Nicole kidman secrets
 BRITNY SPEARS MARRAGE
 Is Bnladen realy cow boy
 To contact new friends
 Chance for holyday
 New version of kasper fire wall
 SEXY FILES

Текст письма:

Выбирается из списка:

Hi,this is secret files of <<Nicole Kidman>> contain her sexy photoes in Florida,her credits ,part of her new film {Bn-laden days} and her telephones numers with here email.....see it and replay us please ..... it is very interesting secret files ..bibi

Hi,this is secret files of <<Britny spears>> contain her marrage photoes in
texas,part of her marrage party and her reactions about madona.....see it and replay us please ..... it is very interesting secret files ..bibi

Hi: mr or miss some amricans say befor 20 yrs Bnladen was cow boy these photoes and parts of vidioes prove it <<photos and vedioes in attachement file>> If u you want to have anice holyday you must call us at this adress USA MITCHGEN and we will give greate offer details in this attachment

Hi:miss or mr you can contact new friends all ever the world deatails in attachmment file
this is the new update and last version of kasper fire wall it contains more and new advantages This attachmment contain very hard sexy photos with part of sexy films interest and replay us

Hi;this is some photoes of Britney Spears marrage with Bnladen son in flash file so<<<<if the winzip file not run you must change the extention to exe to execute it

Имя файла-вложения:

Britny spears marrage with Bnladensun.zip

Размножение через локальные и файлообменные сети

Червь создает свои копии на всех жестких дисках во всех подкаталогах, содержащих в своем названии слово «Share» с именами выбираемыми из списка:

Britny spears and Madona sex viedio in 24 min only.zip.................exe
 Iraq war.zip.................exe
 last messengers versions.zip.................exe
 learn photo shop in 3 days only.zip.................exe
 new cupied photos.zip.................exe
 new girls emails with there phone numbers.zip.................exe
 strong fire wall allover the world with thelast update of norton.zip.................exe
 USA discvered water in mars yesterday.doc.zip.................exe

Червь копирует себя в созданную папку "%ProgramFiles%\Kazaa\My Shared Folder\Shared" под следующими именами:

)..zip.........exe
 [SWF] - Harry Potter and the philosophers
 [SWF] - Swordfish.........exe
 [SWF] - The Fast and the Furious.zip.........exe
 3d msn version 10.1.zip................exe
 3dstoudio.zip.........exe
 animal photos.zip.........exe
 anti virus.zip.........exe
 antibiotics.zip.........exe
 aol.zip.........exe
 autocade.zip.........exe
 big one in the world.zip.........exe
 Britny Spears.zip.........exe
 Cat attacks child.zip.........exe
 cocacola.zip.........exe
 Comedy video.zip.........exe
 computers in 2010.zip.........exe
 deutsh programs.zip.........exe
 Dracola.zip.........exe
 FBI secrets.zip.........exe
 fear.zip.........exe
 fire wall.zip.........exe
 FlashMovie.zip.........exe
 FOOTBALL IN ENGLAND.zip.........exe
 Game_Crack_Genie_v0.5.zip.........exe
 hack.zip.........exe
 hard core.zip.........exe
 huge sexy brests program v 1.7.00.zip.exe
 i robot.zip.........exe
 lesbien.zip.........exe
 MacroMedia Flash 6.0.zip.........exe
 mirc.zip.........exe
 ms games.zip.........exe
 MsDos_PortScanner.zip.........exe
 new film.zip.........exe
 news paper.zip.........exe
 news.zip.........exe
 norton 2005.zip.........exe
 office 2005.zip.........exe
 pebsi.zip.........exe
 photo shop.zip.........exe
 scince of water.zip.........exe
 sex plus.zip.........exe
 Shockwave Flash.zip.........exe
 Simpsons Episode (#
 songs.zip.........exe
 ssPamela_Anderson_(Naked Screen Saver).scr.........exe
 ssParis_Hilton_(Nude Screen Saver).scr.............exe
 stone.zip.........exe
 SWF.zip.........exe
 SWF_Movie.zip.........exe
 this files is very secret files.zip.........exe
 tourism.zip.........exe
 TOY 2006.zip.........exe
 Tutorial Video on Hacking.........exe
 USA secrets.zip.........exe
 viagra.zip.........exe
 Virtual_3D_Pinball.zip.........exe
 virus.zip.........exe
 visual basic projects.zip.........exe
 Win32System_Tweaks_v1.0.zip.........exe
 Wmplayer_Celebrity_Skins.zip.........exe
 wwf.zip.........exe
 xxl plus.zip.........exe
 XXX video.zip.........exe
 yahoo.zip.........exe

Червь копирует себя в возможные скрытые сетевые ресурсы под именами:

admin$\system32\see this it is very intersting.zip...................................exe
 C$\documment and settings\all users\documents\secret documents.zip......................exe
 C$\money generator very dengerous and secrt.zip..........................exe
 C$\shared\my sallary every mmonth increaser.................................exe
 C$\windows\system32\pass word of hotmail store.zip................exe
 C$\winnt\systemm32\speial films links in net.zip.............................exe
 ipc$\secret photoes from my chat.zip...............................exe

Размножение через IRC-каналы

Чтобы рассылать свои копии другим пользователям IRC, находящимся на том же канале, что и зараженный компьютер, червь перезаписывает следующие файлы:

%ProgramFiles%\mIRC\script.ini
 %ProgramFiles%\mIRC32\script.in

Через IRC червь рассылает свою копию:

Britny spears marriage with Bnladen son.zip.exe

Прочее

На зараженном компьютере червь открывает один из следующих интернет сайтов:

http://a7meedye.jeeran.com/counter.htm
 http://www.hotmail.com
 http://www.hotmmail.com
 http://www.new chat.net
 http://www.originalicons.com/?oi=funnyphotos.php?emailfrom=mgasalgya_4ever@hotmail.com!pi%20c=woman.jpg#topofpage