Информация за известен компютърен вирус

Според F-Secure вирусът, който се разпространява чрез имейл съобщения, съдържащи „Обичам те“ или „Любовно писмо“ в полето „Тема“, се появи за първи път на 4 май в Азия. Вероятният източник на произхода му е Филипините.

Според експерти вирусът „Обичам те“ може да донесе много повече неприятности от скандалната Мелиса.

Според Микко Хипонен, ръководител на изследователската група F-Secure, през последните пет години не е имало вирус, който да се е разпространил толкова бързо и в световен мащаб по света: „За четири часа от първото алармено съобщение от Норвегия в 9 часа сутринта. GMT, F-Secure вече разполага с данни за вируса от над 20 страни ".

Вече има информация, че писма от I Love You са получени в Пентагона, Федералния резервен банк, Министерството на отбраната на САЩ; ФБР започна разследване за причините и източниците на разпространение на вируса.

Какво се случва

Когато вирусът стартира за първи път, той се копира в следните директории:

WINDOWS \ SYSTEM \ MSKERNEL32.VBS
WINDOWS \ WIN32DLL.VBS
WINDOWS \ SYSTEM \ LOVE-LETTER-FOR-YOU.TXT.VBS

и добавя следните ключове за регистрация:

HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \
Изпълнете \ MSKernel32 = WINDOWS \ SYSTEM \ MSKernel32.vbs
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \
RunServices \ Win32DLL = WINDOWS \ Win32DLL.vbs

Обичам те сканирания всички дискове, до които можете да получите достъп от тази машина, като потърсите * .JPG и * .JPEG файлове. След като ги намери, вирусът се копира във файлове и добавя разширението .VBS (т.е. файл 123.JPG става 123.JPG.VBS). Освен това вирусът се записва във всички * .VBS, * .VBE, * .JS, * .JSE, * .CSS, * .WSH, * .SCT, * .HTA файлове и променя техните разширения на .VBS. Когато бъдат намерени файлове * .MP3 и * .MP2, I Love You замества кода, добавя разширението му и прави файла невидим.

което автоматично ще стартира програма за кражба на пароли, когато включите операционната система. В този случай троянецът се копира в

и замества съответния ключ на системния регистър с

Вариации на вируса

Според TrendMicro има пет вариации на вируса:

ЛЮБОВНО ПИСМО
Тема на писмото - ОБИЧАМ ТЕ,
тяло - любезно проверете приложеното LOVELETTER, идващо от мен,
прикачен файл - LOVE-LETTER-FOR-YOU.TXT.vbs.
Разпространява се по имейл и mIRC мрежи. В последния случай вирусът изпраща файла LOVE-LETTER-FOR-YOU.HTM до всички потребители на същия канал като "заразения" потребител.

Много смешно
Прикачен файл - Много забавен.vbs,
тема - fwd: Шега,
тяло - без текст,
създава файл Very Funny.HTM.

Ден на майката
Тема на имейла - Потвърждение на поръчката за Деня на майките,
body - „Продължихме да таксуваме кредитната ви карта в размер на $ 326,92 за специалния диамант за майките. Приложихме подробна фактура към този имейл. Моля, разпечатайте прикачения файл и го съхранявайте на сигурно място. Благодаря отново и Честит ден на майките! [email protected] ",
прикачен файл - motherday.vbs.
Пренасочва браузъра към сайтовете http://www.hackers.com/, http://www.l0pht.com/, http://www.2600.com/, http://www.hackers.com/. Компонентът mIRC се опитва да изпрати документ до motherday.HTM.

Мозъчна буря
Прикачен файл - ESKernel32.vbs, ES32DLL.vbs, Важно.TXT.vbs,
тема - Важно! Прочети внимателно .
body - Проверете приложеното ВАЖНО, идващо от мен !
използва документ Important.HTM.

Какво да правя

Ако вашата система вече е заразена с вирус, тогава единственото, което можете да направите, е да премахнете източника на инфекция.

Натиснете START | RUN
Въведете REGEDIT в командния ред и натиснете ENTER

В лявата част на прозореца кликнете върху "+" до реда:
HKEY_LOCAL_MACHINE, софтуер, Microsoft, Windows, CurrentVersion, Run

В дясната част на прозореца намерете ключа, съдържащ записите: \ Windows \ System \ MSKernel32.vbs "и" \ WIN-BUGSFIX.exe "и го изтрийте.

Трябва също така да намерите и изтриете ключа със записа ": \ Windows \ System \ Win32DLL.vbs".

Излезте от регистъра.

Щракнете върху СТАРТ | ИЗКЛЮЧВАНЕ. Изберете „Рестартиране в режим MS-DOS“ и щракнете върху OK.

След рестартиране на компютъра ще се отвори директория C: \.

Добавете записа „DEL WIN-BUGSFIX.exe“ към реда.

Натиснете CTRL + ALT + DEL и оставете Windows да се рестартира.

Също така е необходимо да се намери и изтрие файлът VBS_LOVELETTER, който ще предпази системата от повторно заразяване.

За да коригирате записи в системния регистър и да премахнете повредени от вируси HTML и TXT файлове, използвайте инструмента SWAT.EXE, разработен от TrendMicro.

Има и няколко специализирани програми, които ще ви помогнат да премахнете последствията от разрушителните действия на I Love You.

И за бъдещето. Не бъдете прекалено любопитни - не трябва да отваряте никакви прикачени файлове към писма, получени от непознати за вас лица. А познати могат несъзнателно да ви изпратят заразен файл.