I-Worm.Zafi.c

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также через локальные и файлообменные сети.

Написан на языке Assembler. Упакован FSG. Размер файла - 15993 байта.

Инсталляция

После запуска копирует свой файл в системный каталог Windows с именами "svchost.com" и "svchost.con". А также в корень диска C: с именем "tm.txt".

Создает в системном каталоге Windows файлы с менами "svchost.co0", "svchost.co1", "svchost.co2", ..., "svchost.co9", в которых хранит найденные email-адреса для рассылки зараженных писем.

Червь регистрирует себя в ключе автозагрузки системного реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   "_svchost.con"="%Windows%\%System%\svchost.com"

Создает в реестре ключ, в котором хранит данные, необходимые для своей работы:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\UpdateZ3]

Для обхода Firewall изменяет следующие ключи реестра:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
   DisableNotifications=1
   EnableFirewall=0
   DoNotAllowExceptions=0
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
   AntiVirusDisableNotify=1

Также, червь создает уникальный идентификатор "UpdateZ3" для определения своего присутствия в системе.

Запрещает запуск процессов с именами, содержащими следующие строки:

msconfig
  reged
  task

Файлы антивирусных программ перезаписывает своим файлом.

Размножение через email

Червь ищет email адреса в файлах содержащих следующие строки:

adb
  asp
  attachment
  dbx
  document
  eml
  htm
  letter
  mail
  mbx

message
  php
  pmr
  sht
  tbb
  title
  txt
  wab
  word

Игнорируется отправка писем на адреса, содержащие строки:

aol
  cafee
  google
  help
  hoo.com
  hotmail.co
  info
  kasper
  micro

msn
  panda
  sopho
  suppor
  syma
  trend
  vir
  webm

Содержание зараженного письма выбирается в соответствии с именем домена email адреса жертвы.

Письмо формируется случайным образом при помощи "конструктора" и может иметь следующие варианты:

Варианты заголовка письма:

ajanlat!
  allast kinal!
  As myliu tave!!
  As pakvaises del tavo emailu!
  Call me!
  call us back!
  Can you!
  Chci Ti rict, ze jsi ma laska, miluji Te cim dal vic!
  CNM, Technology Company!
  David Morgen, Office Manager!
  Desde el primer momento!
  Doar ca sa te iubesc!
  Een kus voor jou!
  En kyss!
  Expectant CoWorker!
  free mp3 list!
  full time job for you!
  Fur dich!
  give a little hope!
  Hey buddy!
  I thought maybe we can...!
  I`m off!
  ich gerade an dich dachte!
  Ich liebe dich!
  Ik ben echt niet vergeten!!
  Ik hou van jou!
  Ik hou zooooo veel van je!
  Jag alskar dig!!
  Je t`aime!
  Jeg elsker deg!!
  Jeg elsker dig!
  job details!
  kerem olvassa el!
  Kocham Cic!
  Kusschen!
  L'amour!
  Media Services Kft!
  Merci!
  Miluji te!
  Mina Rakastan Sinua!
  Miss you baby!!
  Mit bjerte er dit til evig tid!
  Network monitoring!
  Odnalezc chce Cie w tlumie!
  offer!
  Ogni grande amore comincia con un fiore!!
  okay!
  please hurry!
  Please read the full story!
  please read!
  Please, send forward this letter!
  Please,thanks!!
  Quando sto con te, il mio cuore!!!
  Rakastan sinua vahemman tanaan kuin huomenna!
  rendszerfigyelo pozicio betoltese!
  send forward!
  send me one more!
  Si stii de ce ?!
  Te amo!
  Te iubesc!
  Thank you!
  Ti amo!!
  Tisztelt Leendo Munkatars!
  tu ma faci sa iubesc!
  very sick little girl!
  waiting for you!
  Whats you doing tomorrow?!
  Your lover!
  Zo verlang ik naar jou!

Варианты текста письма:

• Min kjoerlighet til deg vokser mot himmelske hoyder!

• Roser er sode fioler er bla, Druer er sote og du er like sa.
  Jeg elsker deg!

• Ich wunsche dir einen schonen feierabend!
  Ich liebe dich!

• Ich hab dich so lieb!

• Fur dich, weil ich gerade an dich dachte! Kusschen!

• Tisztelt Leendх Munkatбrs!

• Цnnek бllast kinбl a CNM, Mйdia Services Kft,
  informatikai rendszerfigyelх poziciу betцltйsйre.
  Cйgьnk Magyarorszбg egyik jelentхs informatikai vбllalata,
  melyhez informatikбban jбrtas embereket keresьnk.
  Alapkцvetelmйnyek: Windows XP, 2000, valamint 98 hбlуzati
  ismeretek, valamint alapfoku angol tudбs. Amenyiben elfogadja
  ajбnlatunkat, kйrem olvassa el a rйszleteket йs jelezzen
  vissza a mielхbbi egyьttmьkцdйs cйljбйrt.

• Tisztelettel: Takбcs Lбszlу, irodavezetх.
  Email: <почтовый адрес отправителя>

• La vie n'est qu 'un passage...
  L'amour qu 'un mirage...
  Mais I'amitie est un fil d'oc
  Qui ne se brise jamais.

• Merci d'etre la

  Je t`aime

• Tu es la pour moi.
  Je te sens pres de moi.
  Notre amitie
  m'est precieuse.
  Je t'aime beaucoup!

• Dicono sia la primavera, invece sei tu che mi fai girar la testa.

• Ogni grande amore comincia con un fiore!

• Quando sto con te, il mio cuore!!

• Desde el primer momento en que te vi
  y hace tiempo te buscaba
  y ya te imaginaba asi

  Te amo ...

• Aunque no es tan facil de decir
  y defino lo que siento con estas palabras:

  Te amo ...

• En kyss ar ingen fara,
  En kyss ar inget brott
  Tva lappar mots ju bara
  men herre gud sa gott.

• Jag alskar alskar alskar dig
  fran det kan ingen hindra mig
  och vad som an hander
  i morgon och idag
  sa kan ingen alska dig mer an jag
  och vad som an hander
  med varlden och med mig
  sa kommer jag aldrig nagonsin
  att glomma dig...

• Oppe pa himlen
  langt vaek i det fjerne
  sidder den smukkeste
  lille stjerne

  Den er sendt
  fra mit hjerte
  ned til dig
  og hvisker stille
  godnat fra mig.

• Mit bjerte er dit til evig tid.

• Etsin sita oikeaa miljoonien joukosta, eika minulla ole muita vaatimuksia, kuin etta se olisit sina.

• Rakastan sinua vahemman tanaan kuin huomenna, mutta enemman kuin eilen.

• Mano meile tau auga su lig kiekviena diena.

• Tu esi mano virtualaus bucinio savininkas.

• As pakvaises del tavo emailu...
  As myliu tave!

• Odnalezc chce Cie w tlumie,
  ujrzec wsrod tysigca twe cudne oczy
  koloru morskiej wody
  a potem porwac na swoj statek zwany mitoscia
  by po chwili jak lisc na wietrze
  wolno opadac we dwoje na spokojne wody
  naszej przyszlosci.

  Kocham Cic!

• Niech bcdzie wyrazem
  mej czystej mitosci,
  wiatru kotysaniem
  i cichym wyznaniem...

  Kocham Cic!

• Tu ma faci sa rad, tu ma faci sa plang, tu ma faci sa simt ca traiesc, tu ma faci sa iubesc!

• Iubirea ta e singurul gand pentru care exist. Nu uita ca pentru
  tine traiesc. Si stii de ce ? Doar ca sa te iubesc.

• Jen Tobe patri srdce me a vse, co vubec mam, vzdylaska je to nejcennejsi, co zivot dava nam.

• Chci Ti rict, ze jsi ma laska,
  miluji Te cim dal vic.
  Ty jsi to, co jsem vzdy chtela.
  Chci jen Tebe a nic vic.

• Jouw kus is als een omhelzing.
  Ik denk zo vaak aan je...
  Zo verlang ik naar jou!

• Heb ik je wel eens gezegd dat ik van je hou!
  Ik hou zooooo veel van je !!!

• Ik ben echt niet vergeten! Ik hou van jou !!!
  Een kus voor jou!

• Dear Expectant CoWorker!

  We are offering a full time job for you.
  Our company (CNM, Technology Company, <страна>)
  is the third fastest growing technology company in <страна>.
  Job Type: System and Network monitoring.
  Requirements: Windows XP, 2000, 98 minimal expertise,
  and networking skills.
  If you accept our offer, please read the job details
  document for the full description, and call us back.

  Thank you,

  David Morgen, Office Manager (CNM, Tech. <страна>)
  Email: <почтовый адрес отправителя>

• Please, send forward this letter, and you can give a little hope to a very sick little girl, who is dying in the hospital, in <страна>. Please read the full story, and send forward!!

• Hey buddy!

  Can you send me one more of your free mp3 list? Please,thanks!

• Your lover is waiting for you tomorrow, so please hurry,hurry because..

• Miss you baby!

  Whats you doing tomorrow? I`m off, so... I thought maybe we can...
  Call me okay, before it`s too late...

Примечание:

<адрес отправителя> - адрес с которого пришло письмо.

<страна> - выбирается в соответствии с доменом получателя из следующего списка:

2004
  Australia
  Canada
  China
  England
  Japan
  Korea
  Russia

Имя вложения:

Выбирается из списка:

Eminem free MP3 websites 2004
  listed okt16
  Rap CD list

Расширение файла может быть "exe" или "scr".

Размножение через локальную и файлообменные сети

Червь копирует свой файл во все папки в имени которых встречаются строки:

downlo
  share
  upload

При копировании использует имя "doom3 keygen.exe".

Действие

Червь осуществляет DoS-атаки на следующие сервера:

google.com
  microsoft.com
  www.miniszterelnok.hu