Il worm Xirtam.A attacca da archivi rimovibili

Il worm Xirtam.A si diffonde principalmente come allegato a messaggi di posta elettronica, ma può anche infettare tramite unità di rete e supporti rimovibili.

Xirtam.A crea molti file sui computer infetti e cerca di caricarli su unità che hanno un archivio rimovibile dietro di loro. Copia anche un file autorun.inf su questi, il che garantisce che il worm si avvii automaticamente.

Xirtam.A raccoglie gli indirizzi e-mail necessari per la diffusione dai file .htm e li inoltra. Quindi mappa le unità di rete.

Quando il worm Xirtam.A si avvia, esegue le seguenti azioni:

1. Creare i seguenti file:
% UserProfile% \ Impostazioni locali \ Temp \ Reply.exe
% UserProfile% \ Impostazioni locali \ Temp \ spoolsv.tme
% UserProfile% \ Impostazioni locali \ Temp \ taskmgr.txt
% UserProfile% \ spoolsv.exe
% Windir% \ Matrix.scr
A: \ Recycled.exe
E: \ Recycled.exe
E: \ Segreto \ Nice Sex.exe
E: \ Autorun.inf
F: \ Recycled.exe
F: \ Cazzo \ Nice Sex.exe
F: \ Autorun.inf
G: \ Recycled.exe
G: \ 911 Morte \ 911.exe
G: \ Autorun.inf
H: \ Recycled.exe
H: \ VDO \ Nice Sex.exe
H: \ Autorun.inf
Io: \ Recycled.exe
I: \ Data Fair \ Nice Sex.exe
Io: \ Autorun.inf
J: \ Recycled.exe
J: \ Nice Sex.exe
J: \ Autorun.inf

2. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ file exe
aggiunge alla tua chiave
“NeverShowExt” = “”.

3. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentV ersion \ policy \ Explorer \ Run
aggiunge alla tua chiave
"Attività" = "%Profiloutente%\spoolsv.exe".

4. Il database di registrazione
HKEY_CURRENT_USER \ Pannello di controllo \ Desktop
aggiunge alla tua chiave
“SCRNSAVE.EXE” = “C:\WINDOWS\Matrix.scr”.

5. Il database di registrazione
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ Explorer \ Run
aggiunge alla tua chiave
"Attività" = "%Profiloutente%\spoolsv.exe".

6. Modificare il database di registrazione
HKEY_CURRENT_USER \ Pannello di controllo \ Desktop
incluso nella chiave
“ScreenSaveActive” = “1”.

7. Crea o modifica un file autorun.inf su un archivio rimovibile che si avvia automaticamente quando viene inserito l'archivio.

8. Raccoglie indirizzi e-mail da file con estensione .htm.

9. Inoltra agli indirizzi email raccolti:

Oggetto delle foglie infette:
Rispondi cartella dati

Nome del file allegato all'allegato di posta infetto:
Rispondi.exe

10. Memorizzare l'elenco delle unità di rete nel seguente file:
% UserProfile% \ Impostazioni locali \ Temp \ taskmgr.txt.