Win32.Worm.Datom.A

Tip: Executable Worm Mass Mailer Marime: 58368 bytes (msvxd.exe); 54784 bytes (msvxd16.dll); 81408 bytes (msvxd32.dll) Simptome: - fisierele MSVXD.EXE, MSVXD16.DLL si MSVXD32.DLL intr-un subdirector

Tip: Executable Worm Mass Mailer Marime: 58368 bytes (msvxd.exe); 54784 bytes (msvxd16.dll); 81408 bytes (msvxd32.dll) Simptome: - fisierele MSVXD.EXE, MSVXD16.DLL si MSVXD32.DLL intr-un subdirector al Windows (v. detaliile tehnice de mai jos) sau intr-un director partajat; - inregistrarea "HKLM\Software\ Microsoft\CurrentVersion\Run\MSVXD" in registrii Windows (vizibila doar in modul Safe Mode). Descriere tehnica: Win32.Worm.Datom.A este un nou vierme de Internet care foloseste directoarele partajate in reteaua locala pentru a se raspandi. Este compus din trei fisiere: MSVXD.EXE, MSVXD16.DLL si MSVXD32.DLL, create cu ajutorul aplicatiei Borland C++. Toate sirurile relevante de caractere sunt memorate intr-un format criptat in fisierele virusului, incercand sa evite dezasamblarea, virusul foloseste si cateva trucuri "anti-debugger". In functie de argumentul cu care este rulat, primul fisier component al virusului - MSVXD.EXE - incearca sa copieze virusul intr-unul din urmatoarele subdirectoare ale Windows: -Profiles\AllUsers\Start Menu\Programs\StartUp; - Documents and Settings\All Users\Start Menu\Programs\StartUp; MSVXD.EXE incearca de asemenea sa modifice fisierul WIN.INI pentru a rula virusul la lansarea Windows si pentru a executa cel de-al doilea component, MSVXD16.DLL. MSVXD16.DLL creeaza inregistrarea "HKLM\Software\Microsoft\ Windows\CurrentVersion\ Run\MSVXD" pentru a executa MSVXD.EXE (cu argumentul "1632")la fiecare lansare a Windows si instaleaza o procedura "hook", care monitorizeaza incercarile utilizatorului de a rula REGEDIT sau MSCONFIG; daca vreuna din cele doua aplicatii este executata, codul daunator este "ascuns" de utilizator, folosindu-se un truc neobisnuit (aceasta latura de comportament este prezenta si in cea de-a treia componenta). Pe langa aceste actiuni, MSVXD16.DLL lanseaza si MSVXD32.DLL. Cand cea de-a treia componenta a virusului (MSVXD132.DLL) este incarcata in memorie, virusul creeaza 4 piste de executie. Dezinfectie manuala: Reporniti Windows in Safe Mode (daca este posibil) si eliminati inregistrarea HKLM\Software\Microsoft\ CurrentVersion\Run\MSVXD folosind comanda REGEDIT; stergeti toate fisierele cu numele MSVXD.EXE, MSVXD16.DLL si MSVXD32.DLL care au dimensiunile afisate mai sus. Nota: Virusii din aceasta rubrica au fost analizati de Softwin si pot fi eliminati cu antivirusul BitDefender.