2004. január 29. 14:10
A féreg általában 22528 bájt hosszú, UPX tömörítővel csomagolt program. Ezen kívül a Kazaa fájlcserélő rendszeren keresztül is képes terjedni. A fertőzött melléklet lefuttatásakor először egy véletlenszerűen összeállított, zagyva szöveget jelenít meg a Notepad szövegszerkesztővel. Ezután több példányban felmásolja magát a számítógépre, a Windows rendszerkönyvtárba.
A továbbterjedéshez szükséges e-mail címeket a számítógépen talált állományokból gyűjti össze. A kimenő levelek címsora az alábbiak valamelyike: Test, Hi, Hello, Mail, Delivery System, Mail Transaction Failed, Server Report, Status, Error
A levelek szövege az alábbiak valamelyike: Mail transaction failed. Partial message is available. The message contains Unicode characters and has been sent as a binary attachment. The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
Meghamisítja a levél feladóját és a levélmellékletben pedig ott lapul a vírus, változó kiterjesztéssel: .bat, .exe, .pif, .cmd vagy .scr. Esetenként ZIP archívumba csomagolva küldi ki magát. A fájlnév az alábbiak valamelyike lehet: Document, Readme, Doc, Text, File, Data, Test, Message, Body.
A Kazaa fájlcserélő megosztott könyvtárába is bemásolja magát az alábbi fájlnevek valamelyikét használva: winamp5, icq2004-final, activation_crack, strip-girl-2.0bdcom_patches, rootkitXP, office_crack, nuke2004. A bemásolt fájlok kiterjesztése .PIF, .BAT, .SCR vagy .EXE.
Szappanos Gábor, a Virusbuster Kft. laborvezetője az RTL Klub Híradójának elmondta:
'Egy ártatlan személyt is meg lehet gyanúsítani azzal, hogy ő küldte szét a levelet. Valójában csak annyi történik, hogy amikor szétküldi magát a vírus, a levél feladójára belehamisít egy olyan e-mail címet, amit az adott számítógépen gyűjtött össze.'
A fertőzés ellen speciális víruskereső programokkal lehet védekezni. A férget a VirusBuster programok a 7.859-es, illetve annál újabb adatbázissal ismerik fel. A vírus eltávolításához a létrehozott állományokat kell törölni, valamint a regisztrációs adatbázisban létrehozott bejegyzéseket kell eltávolítani. Forrás: BBC
