I-Worm.Pawur.a

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь является приложением Windows (PE EXE-файл), имеет размер около 51КБ (упакован UPX, размер распакованного файла - около 70КБ).

Инсталляция

После запуска червь может вывести на экран следующее окно:

Заголовок:

Error interno

Текст сообщения:

Documento interno danado, reinstale la aplication asociada para poder visualizarlo
Mas informacion http:/ /www.microsoft.com El programa so cerrara.

При инсталляции червь копирует себя в системный каталог Windows под именем "Command.pif" и регистрирует этот файл в ключе автозагрузки системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "Messenger6"="%WinSysDir%\command.pif"

Далее червь создает в системном каталоге Windows и запускает файлы "Paula.pif" и "Svchosl.pif" и создает запись в системном реестре:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "Svchost"="%System%\svchosl.pif"

После запуска "Paula.pif" создает следующие файлы в системной папке Windows:

m.zip - содержит копию вируса
  ss.exe - программа-шутка
  sz.exe - не является вредоносной программой
  sx.exe и sw.exe - компоненты червя

Распространение через email

Червь рассылает по всем найденным на зараженном компьютере адресам электронной почты созданный им zip файл в виде вложения.

При рассылке зараженных писем червь пытается осуществить прямое подключение к SMTP-серверам.

Характеристики зараженных писем

Тема письма:

Выбирается произвольным образом из списка:

re:Amor verdadero
  re:Como el aire...
  re:Crees que puede ser verdad?
  re:Dejate de rollos y viv
  re:Eso con queso rima con...xD
  re:La Luna
  re:Neptuno y Mercurio
  re:Psicolog
  re:Voodoo un tanto ps...
  re:xD no me lo puedo creer!!

Текст письма:

Выбирается произвольным образом из списка:

Crees en el amor de verdad?,miralo y ya hablamos,ciaooo
  Esa moribunda y solitaria Luna,Impresionante!chao.
  Mira lo que te mando y ya veras que los detalles mas pequenos
  No comment,xDD ,Nos vemos!!
  No veas que cosas xD,luego me cuentas,chao.
  Que relacion tienen estos planetas?,miralo y luego me cuentas,chao.
  Renvialo a todo que es que se meannn xD,nos vemos!
  Sera cierta la magia negra?,sal de dudas y ya me cuentas,chao.
  son los que importan,ciaoo
  Test para ver si andas bien de las neuronassss!xD,luego hablamos,chao.
  Ver es creer!!!!chaoo.

Имя файла-вложения:

Выбирается произвольным образом из списка:

D-Incognito.zip
  EL_rechazo.zip
  Love-Me.zip
  Moon(Luna).zip
  My life(Mi vida).zip
  Para-Brisas.zip
  Planetario.zip
  Psiquico-Mix.zip
  Rimaz.zip
  Voodoo!.zip

Действие

I-Worm.Pawur.a пытается удалить на зараженном компьютере файлы, имеющие следующие расширения:

asm
  asp
  bat
  bdsproj
  bmp
  c
  css
  doc
  dot
  dpr
  gif
  h
  htm

html
  inf
  ini
  iso
  jpeg
  jpg
  log
  mdb
  mp3
  msi
  nfm
  nrg
  pas

pcx
  pdf
  php
  ppt
  rar
  reg
  rpt
  txt
  vb
  vbs
  wav
  xls