I-Worm/Sircam.A obsahuje n∞kolik Ükodliv²ch rutin. 16.°φjna m∙₧e vymazat vÜechny soubory na disku C:, pop°φpad∞ v adresß°i C:\RECYCLED vytvo°φ soubor sircam.sys, do kterΘho zapisuje text
[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]pop°φpad∞
[SirCam Version 1.0 Copyright (c) 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan Mexico]tak dlouho, a₧ dojde k vyΦerpßnφ volnΘho mφsta na disku.
| [21.7.2001] |
Prßzdninov² dßrek: Φerv I-Worm/Sircam.A
Jsou prßzdniny a "pisßlkovΘ vir∙" se pravd∞podobn∞ flßkajφ podobn∞ jako jß :)
Slu₧ba Viruseye hlßsφ nadm∞rn² v²skyt novΘho Φerva I-Worm/Sircam.A o kterΘm mimojinΘ informuje i spoleΦnost Grisoft (www.grisoft.cz), v²robce tuzemskΘho antiviru AVG. Dφky tomu mßm usnadn∞nou prßci, nßsledujφcφ informace jsem si dovolil p°evzφt p°φmo od nich :)
DalÜφ roztomil² mazlφΦek se zaΦal Üφ°it vΦera rßno (naÜeho Φasu). Jde o cca 134kB bubmbrdlφΦka napsanΘho v Delphi.
Soud∞ dle zaÜifrovan²ch text∙ pochßzφ z Mexika:
[SirCam Version 1.0 Copyright (c) 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan Mexico]
Tento text mimochodem obsahuje i v pon∞kud "odtuΦn∞nΘ" verzi:
[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
Posφlß se mailem, kter² mß jako subject jmΘno p°ilo₧enΘho souboru a jeho₧ text sestavuje z t∞chto v∞t:
Hi! How are you? See you later. Thanks I send you this file in order to have your advice I hope you can help me with this file that I send I hope you like the file that I sendo you This is the file with the information that you ask for
Pokud mß u₧ivatel ve Windows jako preferovan² jazyk nastavenou Üpan∞lÜtinu, tak se tomu virus p°izp∙sobφ:
Hola como estas ? Nos vemos pronto, gracias. Te mando este archivo para que me des tu punto de vista Espero me puedas ayudar con el archivo que te mando Espero te guste este archivo que te mando Este es el archivo con la informacion que me pediste
P°ilo₧en² soubor je vytvo°en z vlastnφho t∞la wormu, za kter²m je p°ipojen nßhodn∞ vybran² soubor (archφv, dokument, spustiteln² soubor) pochßzejφcφ z infikovanΘho poΦφtaΦe. P∙vodnφ jmΘno je zachovßno, worm si pouze p°ipojφ dalÜφ p°φponu (pif, lnk, bat nebo com).
Po spuÜt∞nφ se Sircam nakopφruje do n∞kolika r∙zn²ch adresß°∙ pod r∙zn²mi jmΘny:
SirC32.exe, SCam32.exe, SirC32.exe, ScMx32.exe, Microsoft Internet Office.exe a rundll32.exe
PotΘ zrekonstruuje kopii dokumentu, pod jeho₧ jmΘnem dorazil a pokud jde o EXE file, tak ho rovnou spustφ (ve snaze neb²t p°φliÜ nßpadn²). Pro ostatnφ typy souboru se pokusφ v
HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\
najφt vhodnou aplikaci k otev°enφ: Winzip pro .ZIP soubory, Excel pro .XLS a WinWord (nebo alespo≥ WordPad) pro .DOC.
SvΘ pravidelnΘ spouÜt∞nφ p°i startu poΦφtaΦe se sna₧φ si zajistit zßpisem do hodnoty Driver32 klφΦe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
a modifikacφ klφΦe
HKCR\exefile\shell\open\command
(stejn² trik pou₧φvß nap°φklad I-Worm/PrettyPark).
Jako v∞tÜina nov∞jÜφch vir∙ se i tento umφ Üφ°it po sdφlen²ch discφch v rßmci lokßlnφ sφt∞. Na namapovan²ch discφch preferuje adresß°e \recycled a \windows a svΘ spouÜt∞nφ se pokusφ zajistit vlo₧enφm °ßdky @win a odkazem na virus do \autoexec.bat nebo tφm, ₧e zam∞nφ systΘmov² soubor rundll32.exe svou kopii.
| [13.7.2001] |
NovΘ srovnßvacφ testy Φasopisu Virus Bulletin !!!
V ΦervencovΘm Φasopisu Virus Bulletin (www.virusbtn.com) se objevil srovnßvacφ test antivirov²ch program∙ pro DOS.
Jako obvykle p°inßÜφm kompletnφ v²sledky.
Naprosto dokonalΘ v²sledky (100% ve vÜech kategoriφch) tentokrßt podaly Φty°i antivirovΘ programy: DrWeb, Nod32, Kaspersky AntiVirus a NAI VirusScan. U Nodu32 je to ji₧ celkem b∞₧nß zßle₧itost :), ovÜem pro Kaspersky AntiVirus to znamenß po delÜφ dob∞ perfektnφ nßvrat mezi "elitu" (100% ve vÜech kategoriφch nem∞l ji₧ dlouhou dobu, navφc nezφskal v poslednφ dob∞ ani ocen∞nφ "Virus Bulletin 100%"). Nod32 byl v testu bezkonkurenΦn∞ nejrychlejÜφ (viz. tabulky).
Na zßv∞r bych m∞l jeÜt∞ vyjmenovat antiviry, kterΘ dokßzaly odhalit vÜechny In-the-Wild viry (ty, kterΘ se ve sv∞t∞ nejvφce Üφ°φ):