Email-Worm.JS. Sigbug

Почтовый HTML-червь. Несанкционированно рассылает себя по всему списку адресной книги.

Почтовый HTML-червь. Несанкционированно рассылает себя по всему списку адресной книги. Ежегодно 31 мая в системах класса Win9x отключает графический интерфейс пользователя.

Имеет размер 1889 байт. Написан на языке JavaScript.

Инсталляция

При инсталляции вирус копирует себя под следующим именем:

C:\Recycled\stacey.htm

Деструктивная активность

Червь заменяет подписи писем, отправляемых посредством приложения Outlook Express, при помощи следующих действий:

1. Разрешает использование подписей из внешних файлов:

      [HKCU\Identities\%ID_пользователя%\Software\Microsoft\Outlook Express\5.0]
"Signature Flags" = "3"

2. Дает команду Outlook Express использовать подпись под номером «00000000»:

      [HKCU\Identities\%ID_пользователя%\Software\Microsoft\Outlook Express\5.0\
signatures]
"Default Signature" = "00000000"

3. Устанавливает ключ системного реестра, который позволяет загружать подпись «00000000» из вредоносного файла:

      [HKCU\Identities\%ID_пользователя%\Software\Microsoft\Outlook Express\
5.0\signatures\0000000]
"name" = "Signature #1"
"type" = "2"
"text" = ""
"file" = "C:\RECYCLED\STACEY.HTM"

При помощи Outlook Express червь рассылает на все имеющиеся в адресной книге адреса письмо, темой которого является фраза "Check This Out!", а телом — текст из файла «C:\Recycled\stacey.htm».

Затем устанавливается ключ, указывающий на то, что рассылка была произведена успешно:

      [HKCU\Software\JS.Stacey]
      "Mailed" = "Yup!"

При каждом запуске названной почтовой программы и открытии зараженного письма червь проверяет текущую дату, и 31 мая каждого года в системах класса Win9x отключает графический интерфейс пользователя.

Другие названия

Email-Worm.JS.Sigbug («Лаборатория Касперского») также известен как: I-Worm.Sigbug («Лаборатория Касперского»), VBS/Generic@MM (McAfee), JS.Sigbug (Symantec), JS.Stacey (Doctor Web), JS/Sigbug* (RAV), JS_SIGBUG.A (Trend Micro), Worm/Sigbug (H+BEDV), JS/Stacey.A (FRISK), JS.Sigbug.A (SOFTWIN), Worm Generic (Panda), VBS/Sigbug.A (Eset)