Worm.Win32.VB.an

Технические детали

Вирус-червь, распространяющийся через интернет по сетям файлообмена.

Червь является приложением Windows (PE EXE-файл), имеет размер около 770 КБ. Написан на языке MS Visual Basic.

Инсталляция

После запуска червь выдает окно следующего содержания:

В случае нажатия на кнопку «Next» появляется данная ошибка:

Таким образом создается ложное впечатление у пользователя, что вредоносная программа не была запущена.

При инсталляции червь создает в директории «Program Files» свою папку winupdates и копирует себя в нее с именем winupdates.exe:

%Program Files%\winupdates\winupdates.exe

Также червь создает свою копию с именем s.tmp в корне системного диска. Например:

C:\s.tmp

После чего червь создает файл с именем bszip.dll (около 62 КБ) в системном каталоге Windows:

%System%\bszip.dll

Также червь создает свою архивированную копию с именем a.zip (около 71 КБ) в корне системного диска. Например:

C:\a.zip

И копирует этот файл в созданную в корне системного диска папку Uploads.

Размножение через P2P

Червь проверяет наличие установленного на машине P2P клиента (edonkey2000, emule, kazaa, morpheus и других). После чего копирует свою архивированную копию в каталоги общего доступа найденных P2P клиентов.

После чего зараженные файлы будут доступны другим пользователям клиентов P2P.

В случае если на зараженном компьютере установлен P2P клиент Limewire, червь изменяет его настройки, добавляя в DIRECTORIES_TO_SEARCH_FOR_FILES свою созданную папку:

C:\Uploads\