Mais um a responder mensagens não
lidas
Tendo
como principal característica responder a todas as mensagens de
correio eletrônico ainda não lidas pelo usuário do
micro infectado, está começando a se espalhar pela Internet
o vírus W32/Badtrans@mm (também denominado como I-Worm.Badtrans,
Badtrans.A. Segundo a empresa espanhola Panda
Software, trata-se de um verme de baixa periculosidade, que ainda não
se encontra largamente disseminado, e seus danos são reparáveis,
como explica o diretor executivo da empresa no Brasil, Pedro Pajares: “Seu
poder destrutivo aumenta graças à sua característica
de ser transportado por arquivos com nomes diversos que sugerem músicas,
piadas e fotos de nus”, completa.
O W32/Badtrans@mm foi desenvolvido
para se auto-enviar por correio eletrônico, respondendo a todas as
mensagens não lidas do micro contaminado. Nestas, há um arquivo
anexado, que pode ter um dos seguintes nomes: Pics.ZIP.scr; images.pif;
README.TXT.pif; New_Napster_Site.DOC.scr;
news_doc.scr; hamster.ZIP.scr; YOU_are_FAT!.TXT.pif; searchURL.scr; SETUP.pif;
Card.pif; Me_nude.AVI.pif; Sorry_about_yesterday.DOC.pif; s3msong.MP3.pif;
docs.scr; Humor.TXT.pif; fun.pif.
O principal sintoma é o aparecimento
de uma mensagem em formato padrão de erro do Windows quando o arquivo
anexado é executado. Com o texto “File data corrupt” o vírus
procura enganar o usuário de que o arquivo estava danificado e era
inútil:
Método de contágio
– Logo que essa mensagem é mostrada, o verme (de 13.312 bytes) cria
um arquivo chamado HKK32.EXE e copia a si mesmo na pasta Windows\System
com o nome KERN32.EXE. Então, o verme apaga o HKK32.EXE criado pouco
antes, enquanto o KERN32.EXE envia um arquivo contaminado por correio eletrônico
e é copiado para o diretório do Windows com o nome de INETD.EXE.
Finalmente, para assegurar a sua execução a cada vez que
o sistema é iniciado, o verme altera o registro e o Win.INI. No
Registro do Windows, coloca a chave:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\kernel32=kern32.exe
No arquivo Win.INI, acrescenta: run=C:\WINDOWS\INETD.EXE |