Eigenschappen
Sahay
is een mass-mailer internetworm die zich verspreidt via e-mail
& het nestelt zich in lokaal opgeslagen .EXE bestanden.
Na infectie, handmatig door het bijlagebestand te openen, verstuurt
het virus zich via Microsoft Outlook door richting;
-alle contactpersonen uit het Microsoft Windows adressenboek
(.WAB)
Opmerkelijk
aan dit virus is dat het na infectie controleert of een van
de varianten van Yaha.fam aanwezig is op het systeem. Indien
het geval dan probeert Sahay deze te verwijderen. Tevens toont
het dan een windows-venster, zie hieronder.
Eigenschappen
van het e-mailbericht:
-Onderwerp:
Fw: Sit back and be surprised..
-Tekst
van het bericht:
Think of a number between 1 and 52.
Say it out loud, and keep repeating while you read on.
Think of the name of someone you know (of the opposite sex).
Now count which place in the alphabet, the second letter of
that name has.
Add that number to the number you were thinking of.
Say the number out loud 3 times.
Now count which place in the alphabet the first letter of
your first name has, and substract that number from the one
you just had.
Say it out loud 3 times.
Now sit back, watch the attached slide show, and be surprised..
-Naam
bijlagebestand: MathMagic.scr
* dit bestand is 32.768 bytes groot.
Preventieve
maatregelen:
Herkenning van besmetting:
Bestanden
1a.Aanwezigheid
van het bestand "MathMagic.scr" in de root-directory
van uw systeem, te weten C:\ .
1b.Aanwezigheid
van het bestand "Yahasux.vbs" in de standaard Windows-directory
van uw computer. (Meestal C:\Windows)
1c.
Aanwezigheid van .exe bestanden die op de datum van infectie
zijn gewijzigd(!). Deze bestanden worden voorzien van de viruscode,
daarmee neemt hun grootte toe met gemiddeld 32.768 bytes.
Registry
Er worden geen verwijzingen/aanpassingen in de registry aangemaakt
Vensters
Na infectie controleert Sahay of er varianten van het Yaha-virus
aanwezig zijn op het systeem. Indien dit het geval is tracht
het deze te verwijderen. Tevens toont het dan een venster
met daarin de tekst:
Hi
there.. it seems you were infected with Yaha.k. That worm
however, written by an idiot who sPeLlS lIkE tHiS,abused my
website and got me toreceive the complaints. Therefore, I
have just disinfected you.Don't worry tho.. as I didn't wanna
steal from you, I gave you this virus (Win32.HLLP.YahaSux)
in return :)
Greetz,
Gigabyte [Metaphase VX Team]
Verwijder
instructies:
Verwijder het virus met één van de gratis online
scanners |
