НОВЫЕ ВИРУСЫ

1 марта 2004

Эпидемия I-Worm.Netsky.d

Обнаружена четвертая версия почтового червя Moodown, получившей название I-Worm.Netsky.d, распространяющейся через интернет в виде файлов, прикрепленных к зараженным письмам.

Червь является приложением Windows (PE EXE-файл), имеет размер около 17KB (упакован Petite, размер распакованного файла - около 27KB), написан на Microsoft Visual C++.

Содержимое зараженных писем:

Заголовок (выбирается произвольным образом):

Re: Re: Document

Re: Re: Thanks!

Re: Thanks!

Re: Your document

Re: Here is the document

Re: Your picture

Re: Re: Message

Re: Hi

Re: Hello

Re: Re: Re: Your document

Re: Here

Re: Your music

Re: Your software

Re: Approved

Re: Details

Re: Excel file

Re: Word file

Re: My details

Re: Your details

Re: Your bill

Re: Your text

Re: Your archive

Re: Your letter

Re: Your product

Re: Your website

Текст (выбирается произвольным образом):

Your document is attached.

Here is the file.

See the attached file for details.

Please have a look at the attached file

Please read the attached file.

Your file is attached.

Имя вложения (выбирается произвольным образом):

your_document.pif

document.pif

message_part2.pif

document_full.pif

message_details.pif

your_file.pif

document_4351.pif

yours.pif

mp3music.pif

application.pif

all_document.pif

my_details.pif

document_excel.pif

document_word.pif

your_details.pif

your_bill.pif

your_text.pif

your_archive.pif

your_letter.pif

your_product.pif

your_website.pif

Червь копирует себя в %WinDir% под именем "winlogon.exe".

Добавляет в реестр ключ:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] "ICQ Net" = "%windir%\winlogon.exe"