Technische Beschreibung:

Wie seine Vorläufer versendet er sich als Email und benutzt dazu seine eigene SMTP Maschine.
Bei Betrieb erfolgt dies:
- der Wurm kopiert sich als syshostx.exe im %SYSTEM% Ordner
- er schafft zwei weitere zufällig benannte Kopien im %SYSTEM% Ordner
- er schafft den o.g. Registry Key
- manchmal zeigt er falsche Message Boxen an.
Die Kopien fungieren als Backup, falls er vernichtet wird, benutzt er eine der anderen Kopien.
Der Virus schaut nach Email Adresses in Dateien mit folgenden Endungen:
htt, rtf, doc, xls, ini, mdb, txt, htm, html, wab, pst, fdb, cfg, ldb, eml, abc, ldif, nab, adp, mdw, mda, mde, ade, sln, dsw, dsp, vap, php, nsf, asp, shtml, shtm, dbx, hlp, mht, nfo.
und verstaut sie in der Datei savesyss.dll im %SYSTEM% Ordner.
Er schafft auch zwei weitere Dateien humgly.lkur und yfjq.yqwm im %SYSTEM% Ordner.

Entfernung:

[ Zurück zum Anfang ]