Worm.Win32_Oscabot-E

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Oscabot-E se connecte à un canal spécifique sur un service IRC et attend qu'un attaquant envoie à l'agent infectieux l'instruction d'envoyer des messages aux membres de la liste de contacts de l'utilisateur AOL infecté.

Le message est le suivant :
"check this out, is that you?"

Le terme "this" est un lien vers l'exécutable Oscabot-E sur l'ordinateur infecté.

Lorsqu'il est exécuté, Oscabot-E se déplace dans le dossier Windows sous le nom de "msgs.exe".

Les entrées de registre suivantes sont créées ou modifiées pour permettre son exécution à chaque démarrage du système:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Windows Service Manager
%Windows%\msgs.exe

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell
Explorer.exe %Windows%\userint32.exe

Note: '%Windows%' est une variable de localisation. Oscabot-E détermine le chemin du répertoire de Windows en effectuant une requête au système d'exploitation. Le répertoire Windows par défaut pour Windows 2000 et NT est C:\Winnt; pour 95,98 et ME est C:\Windows\; et pour XP est C:\Windows\.