Worm.Win32_Antiman-A

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: 401408 Octet(s)

Détails techniques:

Une fois exécuté, Antiman-A dépose une copie de lui-même sous le nom %Windir%/funny.scr, puis une autre copie dans le démarrage de Windows sous le nom C:\DocumentsAndSettings\{utilisateur}\Menu Démarrer\Programmes\Démarrage\starwin.exe.

Le ver ajoute ensuite les entrées de registre suivantes, pour remplacer l'écran de veille :

HKEY_CURRENT_USER\Control Panel\Desktop
ScreenSaveTimeOut = "300"
HKEY_CURRENT_USER\Control Panel\Desktop
SCRNSAVE.EXE = %WINDIR%\funny.scr"

Propagation

Le ver arrive dans un e-mail, écrit en Roumain, sous une de ces formes :

Objet : Poza de la mare...
Corps du message : Ti-am trimis ultima poza de la mare. Asta e?
Pièce-jointe : scan_picture_0001._JPG.exe

Objet : Antivirus
Corps du message : Asta e ultimul antivirus. Ar trebui sa rezolve toate problemele.
Pièce-jointe : antivirus.exe

Objet : Faza cu camila
Corps du message : {vierge}
Pièce-jointe : camila.exe

Objet : De ce mor mai repede curiosii...
Corps du message : Nu deschide acest mesaj! E numai pentru persoanele prea curioase!
Pièce-jointe : curiosii.exe

Objet : Antimanele
Corps du message : Daca sunteti nu mai suportati manelele la servici, tramvai, taxi, metrou, etc., trimiteti acest mesaj la toti prietenii dvs. ! Va multumesc (din suflet).
Pièce-jointe : antimanele.exe

Objet : Votati astazi!
Corps du message : Credeti ca ar fi mai bine ca Romania sa-si retraga trupele din Irak anul acesta? Deschideti programul Vot, alegeti votul dvs. si vedeti rezultatele. Parerea dvs. conteaza!
Pièce-jointe : {date actuelle}.exe

Objet : Cu sau fara Manele ?
Corps du message : Credeti ca ar fi mai bine ca manelele sa fie interzise in Romania?
Deschideti programul de votare, alegeti votul dvs. si vedeti rezultatele. Parerea dvs. conteaza!
Pièce-jointe : vot_manele.exe

Objet : Pentru Ionel
Corps du message : Draga Ionel, Scuza-ma ca nu ti-am mai scris de mult timp, dar am avut ceva probleme cu calculatorul. Ti-am promis ultima data pe chat o poza cu mine dezbracata... m-am gandit mult la asta si cred ca pana la urma cel mai bine e sa-ti trimit o poza. Sper sa-ti placa. Daca nu o sa-mi mai scrii dupa mesajul asta, o sa te inteleg... Roxana,
Pièce-jointe : poza_roxana._JPG.exe

Objet : Cum a murit Papa?
Corps du message : Film cu moartea papei. Toate drepturile rezervate. Este interzisa modificarea continutului. Poate fi redistribuit. Asociatia Catolicilor Anonimi din Romania.
Pièce-jointe : film_papa._avi._divx_.exe


Le ver scanne les disques non-amovibles et supprime les fichiers multimédia contenant les mots suivants :

adi caval
adi de la valcea
adi de vito
adi_de_la_valcea
adrian & camy
adrian cm
adrian copilul minune
adrian_copilul_minune
ady de vito
alina si costi
as da zile de la mine
carmen dobre
carmen serban
cata boss
catalin de la buzau
ce le-nnebuneste pe femei
chef de chef
Chefdechef
Copilul de aur
copilul de aur
Copilul_de_aur
cristian gusatu
dani de la deva
daniel dinescu
don genove
dusmanii mei
florin peste
florin salam
florin_salam
gabi de la giulesti
gabi din buzau
guta & sorina
guta jr
jean de la craiova
jumatate eu
jumatate tu
liviu cu mirela
Liviu Guta
liviu pustiu
Liviu_Guta
liviu_guta
lucian seres
mihaela minune
Minodora
n. guta
n.guta
nico cu carbon
nico_cu_carbon
Nicolae Guta
nicu paleru
ovidiu mititelu
petrica cercel
plange sufletul
printesa ionela
puiu codreanu
relu pustiu
sa cante manelele
sile dorel
sorina & florinel
sorinel copilu de aur
sorinel pustiu
stana isbasa
stefan de la barbulesti
sunt seful vostru pana mor
vali raicu
vali vijelie
victor spaniolu

Antiman-A dépose également un fichier texte "M.TXT" dans le répertoire racine (généralement C:\). Ce fichier archive toutes les activités du ver.