Email-Worm.Win32.Salga.a

Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также по сетям файлообмена, открытым сетевым ресурсам и IRC-каналам.

Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь является приложением Windows, имеет размер около 36КБ, упакован MEW. Размер распакованного файла около 307КБ.

Инсталляция

При инсталляции червь копирует себя в папку автозагрузки с именем "egy~1.exe".

C:\Documents and Settings\All Users\Start Menu\Programs\Startup\egy~1.exe

После запуска червь создает различные папки, в которые копирует себя под следующими именами:

%ProgramFiles%\Accessories\BRITNY SPEARS MARRAGE.zip...............exe
%ProgramFiles%\Accessories\Details of new friends.zip...............exe
%ProgramFiles%\Accessories\Details.zip...............exe
%ProgramFiles%\Accessories\hard sex files.zip...............exe
%ProgramFiles%\Accessories\Is Bnladen realy cow boy.zip...............exe
%ProgramFiles%\Accessories\kasper2005.zip...............exe
%ProgramFiles%\Accessories\Nicole Kidman.zip...............exe
%ProgramFiles%\mirc\Britny spears marriage with Bnladen son.zip.exe
%ProgramFiles%\mirc32\Britny spears marriage with Bnladen son.zip.exe
%Windir%\acdsee demo.exe
%Windir%\All Users\Desktop\sex cam\sex photoes of monika.zip.exe
%Windir%\All Users\Start Menu\Programs\StartUp\ana~1.exe
%Windir%\Start Menu\inter net speeder.zip.exe
%Windir%\start menu\programs\new chat prog.zip.exe
%Windir%\system\system copy.exe
%Windir%\system32\egywormo[gen1].exe
C:\Britny spears marrage with Bnladensun.zip
C:\Britny\NEW FILM.ZIP.EXE
C:\Documents and Settings\All Users\DESKTOP\holywood stuff film.zip.exe
C:\Documents and Settings\All Users\Start Menu\nicole kidman sexy cam.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\magic graphices maker.zip.exe
C:\Documents and Settings\All Users\Start Menu\Programs\your sexy cam.zip.exe
C:\hard core hook from web\setup.zip.exe
D:\FUN.ZIP.EXE
D:\girlfriends emails.zip.exe
D:\hook all sex movies from webs\setup.zip.exe
E:\blood of fetch sex.zip.exe
E:\Messenger 9.00.ZIP.EXE
E:\real sex telephones\me.zip.exe

Затем регистрирует себя в ключе автозапуска системного реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   "system xp"="%Windir%\acdsee demo.exe"
   "windows"="%Windir%\system\system copy.exe"

Также червь создает следующие ключи реестра:

[HKEY_CURRENT_USER\Software\Kazaa\Transfer]
   "StartKazaa -SilentRun"="%ProgramFiles%\Kazaa\My Shared Folder\Shared"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Shares]
   "Britny"

Распространение через email

Для поиска адресов жертв червь сканирует адресную книгу MS Outlook и рассылает себя по всем найденным в ней адресам электронной почты.

Характеристики зараженных писем

Червь отправляет два почтовых сообщения, одно из которых отсылается автору вируса, а другое - потенциальной жертве.

Характеристики письма, отправляемого автору вируса:

Адрес получателя:

mgasalgya_4ever@hotmail.com

Тема письма:

Выбирается из списка:

Sir new victem 
  Egywormo give her sir email of victem

Текст письма:

Hi:sir i'm your server Egywormo[gen1] this is new victem who has own outlook machine i caputre his contacts and go there to infect them.... ok i'll go now and see you soon when i infect more ......bibi sir
<password of victem email>

Характеристики письма, отправляемого потенциальной жертве:

Тема письма:

Выбирается из списка:

Nicole kidman secrets
  BRITNY SPEARS MARRAGE
  Is Bnladen realy cow boy
  To contact new friends
  Chance for holyday
  New version of kasper fire wall
  SEXY FILES

Текст письма:

Выбирается из списка:

Hi,this is secret files of <<Nicole Kidman>> contain her sexy photoes in Florida,her credits ,part of her new film {Bn-laden days} and her telephones numers with here email.....see it and replay us please ..... it is very interesting secret files ..bibi

Hi,this is secret files of <<Britny spears>> contain her marrage photoes in
texas,part of her marrage party and her reactions about madona.....see it and replay us please ..... it is very interesting secret files ..bibi

Hi: mr or miss some amricans say befor 20 yrs Bnladen was cow boy these photoes and parts of vidioes prove it <<photos and vedioes in attachement file>> If u you want to have anice holyday you must call us at this adress USA MITCHGEN and we will give greate offer details in this attachment

Hi:miss or mr you can contact new friends all ever the world deatails in attachmment file
this is the new update and last version of kasper fire wall it contains more and new advantages This attachmment contain very hard sexy photos with part of sexy films interest and replay us

Hi;this is some photoes of Britney Spears marrage with Bnladen son in flash file so<<<<if the winzip file not run you must change the extention to exe to execute it

Имя файла-вложения:

Britny spears marrage with Bnladensun.zip

Размножение через локальные и файлообменные сети

Червь создает свои копии на всех жестких дисках во всех подкаталогах, содержащих в своем названии слово «Share» с именами выбираемыми из списка:

Britny spears and Madona sex viedio in 24 min only.zip.................exe
  Iraq war.zip.................exe
  last messengers versions.zip.................exe
  learn photo shop in 3 days only.zip.................exe
  new cupied photos.zip.................exe
  new girls emails with there phone numbers.zip.................exe
  strong fire wall allover the world with thelast update of norton.zip.................exe
  USA discvered water in mars yesterday.doc.zip.................exe

Червь копирует себя в созданную папку "%ProgramFiles%\Kazaa\My Shared Folder\Shared" под следующими именами:

)..zip.........exe
  [SWF] - Harry Potter and the philosophers
  [SWF] - Swordfish.........exe
  [SWF] - The Fast and the Furious.zip.........exe
  3d msn version 10.1.zip................exe
  3dstoudio.zip.........exe
  animal photos.zip.........exe
  anti virus.zip.........exe
  antibiotics.zip.........exe
  aol.zip.........exe
  autocade.zip.........exe
  big one in the world.zip.........exe
  Britny Spears.zip.........exe
  Cat attacks child.zip.........exe
  cocacola.zip.........exe
  Comedy video.zip.........exe
  computers in 2010.zip.........exe
  deutsh programs.zip.........exe
  Dracola.zip.........exe
  FBI secrets.zip.........exe
  fear.zip.........exe
  fire wall.zip.........exe
  FlashMovie.zip.........exe
  FOOTBALL IN ENGLAND.zip.........exe
  Game_Crack_Genie_v0.5.zip.........exe
  hack.zip.........exe
  hard core.zip.........exe
  huge sexy brests program v 1.7.00.zip.exe
  i robot.zip.........exe
  lesbien.zip.........exe
  MacroMedia Flash 6.0.zip.........exe
  mirc.zip.........exe
  ms games.zip.........exe
  MsDos_PortScanner.zip.........exe
  new film.zip.........exe
  news paper.zip.........exe
  news.zip.........exe
  norton 2005.zip.........exe
  office 2005.zip.........exe
  pebsi.zip.........exe
  photo shop.zip.........exe
  scince of water.zip.........exe
  sex plus.zip.........exe
  Shockwave Flash.zip.........exe
  Simpsons Episode (#
  songs.zip.........exe
  ssPamela_Anderson_(Naked Screen Saver).scr.........exe
  ssParis_Hilton_(Nude Screen Saver).scr.............exe
  stone.zip.........exe
  SWF.zip.........exe
  SWF_Movie.zip.........exe
  this files is very secret files.zip.........exe
  tourism.zip.........exe
  TOY 2006.zip.........exe
  Tutorial Video on Hacking.........exe
  USA secrets.zip.........exe
  viagra.zip.........exe
  Virtual_3D_Pinball.zip.........exe
  virus.zip.........exe
  visual basic projects.zip.........exe
  Win32System_Tweaks_v1.0.zip.........exe
  Wmplayer_Celebrity_Skins.zip.........exe
  wwf.zip.........exe
  xxl plus.zip.........exe
  XXX video.zip.........exe
  yahoo.zip.........exe

Червь копирует себя в возможные скрытые сетевые ресурсы под именами:

admin$\system32\see this it is very intersting.zip...................................exe
  C$\documment and settings\all users\documents\secret documents.zip......................exe
  C$\money generator very dengerous and secrt.zip..........................exe
  C$\shared\my sallary every mmonth increaser.................................exe
  C$\windows\system32\pass word of hotmail store.zip................exe
  C$\winnt\systemm32\speial films links in net.zip.............................exe
  ipc$\secret photoes from my chat.zip...............................exe

Размножение через IRC-каналы

Чтобы рассылать свои копии другим пользователям IRC, находящимся на том же канале, что и зараженный компьютер, червь перезаписывает следующие файлы:

%ProgramFiles%\mIRC\script.ini
  %ProgramFiles%\mIRC32\script.in

Через IRC червь рассылает свою копию:

Britny spears marriage with Bnladen son.zip.exe

Прочее

На зараженном компьютере червь открывает один из следующих интернет сайтов:

http://a7meedye.jeeran.com/counter.htm
  http://www.hotmail.com
  http://www.hotmmail.com
  http://www.new chat.net
  http://www.originalicons.com/?oi=funnyphotos.php?emailfrom=mgasalgya_4ever@hotmail.com!pi%20c=woman.jpg#topofpage