De trojan wordt verder gedistribueerd via besmette systemen, het gebruikt daarvoor een SMTP-relay. De hacker kan via poort 6076 + 5262 het besmette systeem aansturen.

De mass-mailercomponent van het virus maakt gebruik van het zgh. MIME-exploit in Internet Explorer. Hierdoor kan het virusbestand bij niet ge-update systemen bijvoorbeeld in de voorbeeldweergave automatisch worden geopend.

Eigenschappen van het e-mailbericht:
- Onderwerp: mail

- Tekst van het bericht: Hello! Check out [link naar site], the best FREE site!

- Naam bijlagebestand: masteraz.exe

ad [link naar site]
De website waarvandaan dit bestand gedownload moet worden is niet meer actief. Daarmee is de meest lastige component van het virus (de trojan) onschadelijk gemaakt.

Preventieve maatregelen:
1. Blokkeer binnenkomende e-mail met als onderwerp "mail".
2. Blokkeer poort TCP 4668 van uw systeem.
3. Installeer preventief de patches van Microsoft tegen het zgh. MIME-exploit. Deze "fout" in Microsoft Outlook/Explorer kan ervoor zorgen dat het bericht automatisch wordt geopend indien u het bekijkt in de voorbeeldweergave. U kunt deze patch binnenhalen via de website van Microsoft. Daarbij wordt automatisch bepaald welke patches voor uw systeem relevant zijn. Zie Windows update (onderaan van pagina)

Herkenning van besmetting:

Bestanden
Aanwezigheid van het bestand "Msrexe.exe" (30.720 Kb) in de standaard Windows\System directorie (C:\Windows\System)
De website waarvandaan dit bestand gedownload moet worden is niet meer actief. Daarmee is de meest lastige component van het virus (de trojan) onschadelijk gemaakt.

Registry
Indien bovengenoemd bestand aanwezig is op uw systeem maakt het virus de volgende registry-sleutels aan:

a) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"System Service"="C:\[locatie bestand]\MSREXE.EXE"

b) HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Swartax
"ImagePath"="C:\[locatie bestand]\MSREXE.EXE"

Poorten
Indien de hacker toegang maakt met het systeem, via poort 4668, zal het de poorten 6076 + 5262 gebruiken voor communicatie en verdere acties.

Verwijder instructies:
- Controleer hierna uw systeem op nog aanwezige bestanden en registry-regels voor zover nog aanwezig: verwijder deze handmatig.

Aanpassen van de registry?
Wij adviseren aanpassingen in de registry van Windows alleen te laten uitvoeren door Windows-specialisten.
De registry kunt u bekijken door te kiezen voor [start] -> [uitvoeren] -> regedit {enter}.