Win32.Antiman.A@mm - Virensignatur

Symptome :

FUNNY.SCR - im Windows Directory
STARTWIN.EXE - in Start Menu\Programs\Startup

Technische Beschreibung:

From: [erfunden]
Subject: Poza de la mare...
Body: Ti-am trimis ultima poza de la mare. Asta e?
Attachment: scan_picture_0001._JPG.exe

From: [erfunden]
Subject: Antivirus
Body: Asta e ultimul antivirus. Ar trebui sa rezolve toate problemele.
Attachment: antivirus.exe

From: [erfunden]
Subject: Sex in camin
Body: Ioana, sex in grup in camin. Cred ca o stii si tu
Attachment: ioana_divx._AVI.exe

From: [erfunden]
Subject: Faza cu camila
Attachment: camila.exe

From: [erfunden]
Subject: De ce mor mai repede curiosii...
Body: Nu deschide acest mesaj! E numai pentru persoanele prea curioase!
Attachment: curiosii.exe

From: [erfunden]
Subject: Antimanele
Body: Daca sunteti nu mai suportati manelele la servici, tramvai, taxi, metrou, etc., trimiteti acest mesaj la toti prietenii dvs. ! Va multumesc (din suflet).
Attachment: antimanele.exe

From: [erfunden]
Subject: Votati astazi!
Body: Credeti ca ar fi mai bine ca Romania sa-si retraga trupele din Irak anul acesta? Deschideti programul Vot, alegeti votul dvs. si vedeti rezultatele. Parerea dvs. conteaza!
Attachment: [current date].exe

From: [erfunden]
Subject: Cu sau fara Manele ?
Body: Credeti ca ar fi mai bine ca manelele sa fie interzise in Romania? Deschideti programul de votare, alegeti votul dvs. si vedeti rezultatele. Parerea dvs. conteaza!
Attachment: vot_manele.exe

From: [erfunden]
Subject: Pentru Ionel
Body: Draga Ionel, Scuza-ma ca nu ti-am mai scris de mult timp, dar am avut ceva probleme cu calculatorul. Ti-am promis ultima data pe chat o poza cu mine dezbracata... m-am gandit mult la asta si cred ca pana la urma cel mai bine e sa-ti trimit o poza. Sper sa-ti placa. Daca nu o sa-mi mai scrii dupa mesajul asta, o sa te inteleg... Roxana,
Attachment: poza_roxana._JPG.exe

From: [erfunden]
Subject: Cum a murit Papa?
Body: Film cu moartea papei. Toate drepturile rezervate. Este interzisa modificarea continutului. Poate fi redistribuit. Asociatia Catolicilor Anonimi din Romania.
Attachment: film_papa._avi._divx_.exe

Wenn er läuft, kopiert sich der Wurm selbst in die Windows Directory mit dem Namen FUNNY.SCR und installliert sich als Screensaver, indem er folgende Registry Keys schreibt:

HKEY_CURRENT_USER\Control Panel\Desktop\"SCRNSAVE.EXE" = "%WINDIR%\FUNNY.SCR"
HKEY_CURRENT_USER\Control Panel\Desktop\"ScreenSaveTimeOut" = "300"

so dass er nach 5 Minuten Wartezeit als Screensaver läuft.

Er kopiert sich auch selbst in den Startup Ordner, so dass er bei jedem Windows Betrieb läuft:

%DocumentsAndSettings%\%User%\Start Menu\Programs\Startup\STARTWIN.EXE

Dann durchsucht er die Festplatten und löscht Multimedia Dateien, die folgende Namensteile enthalten:

Liviu Guta, Liviu_Guta, Nicolae Guta, Nicolae_Guta, Copilul de aur, Copilul_de_aur, adi de la valcea, adi_de_la_valcea, adi de vito, ady de vito, florin salam, florin_salam, adrian & camy, stana isbasa, adrian cm, adrian copilul minune, adrian_copilul_minune, alina si costi, copilul de aur, dani de la deva, gabi din buzau, gabi de la giulesti, liviu pustiu, guta jr, guta & sorina, printesa ionela, don genove, jean de la craiova, cristian gusatu, ovidiu mititelu, sorinel pustiu, lucian seres, mihaela minune, minodora, n. guta, n.guta, nico cu carbon, nico_cu_carbon, sile dorel, vali vijelie, carmen serban, petrica cercel, nicu paleru, cata boss, liviu_guta, stefan de la barbulesti, florin peste, liviu cu mirela, sorina & florinel, puiu codreanu, catalin de la buzau, daniel dinescu, relu pustiu, victor spaniolu, vali raicu, adi caval, carmen dobre, sorinel copilu de aur, as da zile de la mine, sunt seful vostru pana mor, chefdechef, chef de chef, dusmanii mei, plange sufletul, jumatate tu, jumatate eu, ce le-nnebuneste pe femei, sa cante manelele.

Der Wurm versendet Mails an alle Einträge im Addressbuch von Outlook und sucht auch in Yahoo Messenger log Dateien nach neuen Adressen.

Er schafft auch eine Log Datei namens M.TXT im Root auf C: von dort logt er seine Aktionen.

Entfernung:

[ Zurück zum Anfang ]