Technische Beschreibung:

Der Virus ist eine Java Script Datei (geschaffen von einem anderen Virus,Win32.Rezak.A@mm), der eine Datei vbs Datei, namens "C:rol.vbs" ablegt und startet.
Die VBS Datei schreibt den Registry Key; "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsZacker" der die Minute der Infektion enthält und den Key: "HKEY_ CURENT_USERsoftwaremicrosoftinternet Explorermainstart Page" mit dem Wert "http://www.orst.edu/groups/msa/everwonder.swf" , um beim Start von Internet Explorer die Webseite zu starten.
Er kopiert sich in eine Datei namens "zacker.vbs" im System Ordner. Er schafft eine html Seite namens "DaLal.htm" mit dem Link zu "http:/ /geocities.com/jobreee/main.htm".
Er vernichtet die Ordners einiger Antivirenprogramme:
-Program FilesZone Labs
-Program FilesAntiViral Toolkit Pro*.*
-Program FilesCommand SoftwareF-PROT95*.*
-eSafeProtect*.*
-PC-Cillin 95*.*
-PC-Cillin 97*.*
-Program FilesQuick Heal*.*
-Program FilesFWIN32*.*
-Program FilesFindVirus*.*
-ToolkitFindVirus*.*
-f-macro*.*
-Program FilesMcAfeeVirusScan95*.*
-Program FilesNorton AntiVirus*.*
-"TBAVW95*.*
-VS95*.*
-rescue*.*
-Program FilesZone Labs*.*
Es kopiert sich in
jede "lnk", "zip", "jpg", "jpeg", "mpg", "mpeg", "doc", "xls", "mdb", "txt", "ppt", "pps", "ram", "rm", "mp3", "mdb", "swf" Datei auf jedem Laufwerk mit dem Namen der Datei und der Endung ".vbs". Dann löscht er diese Dateien.
Er hängt an jede "htm", "html" and "asp" Datei den Link "http:/ /geocities.com/jobreee/main.htm".

[ Zurück zum Anfang ]