Eigenschappen:
W32.Ixas@mm is een mass-mailer internetworm die zich na infectie
doorstuurt naar alle contactpersonen in het adressenboek van
Microsoft Windows en verspreid zich via zijn eigen SMTP server.
Het virus verstuurt een e-mail met de volgende karakteristieken:
From: willekeurige letters@delfi.lt
Subject: het onderwerp kan een van onderstaande
teksten zijn,
· Gift for you
· Urgent NEWs
· EBAY Update
· Antivirus Update
· Urgent Windows UPDATE
· Hi, look this attcahment
· Hello, please wisit this nice site
Attachment: Attachments hebben willekeurige
namen.
De worm verstuurt zichzelf naar adressen van inkomende e-mails.
Het bericht wat de worm creëert voor deze e-mailtjes
met de volgende karakteristieken:
Subject: Re:
Attachment: Heeft een willekeurige bestandsnaam.
Message:
I reply as soon as possible to your email
You wrote:----------
Preventieve maatregelen:
Herkenning van besmetting:
Bestanden
De worm probeert zich te verspreiden via zijn eigen SMTP server.
Registry
Als W32.Ixas@mm start, dan zoekt het naar de volgende registry
sleutel:
HKEY_LOCAL_MACHINE\Software\EarLG\Config
Als de sleutel bestaat de stopt de worm anders doet de worm
het volgende:
1. Kopieert zichzelf naar C:\%System% folder gebruikmakend
van een willekeurige naam.
Opgelet: %System% is een Variabele. De worm lokaliseert het
systeem folder en kopieert zichzelf hiernaar toe. Dit is C:\Windows\System
(Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or
C:\Windows\System32 (Windows XP).
2. Het creëert de hierboven genoemde registry sleutel
en voegt het volgende waarde aan deze sleutel toe:
AppName < de bestandsnaam van de worm>
3. Voegt de waarde toe:
de gebruikte worm bestandsnaam en of de gecreëerde worm
bestandsnaam
aan de registry sleutel:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Nu zal de worm opstarten zodra u het systeem herstart.
4. De worm gebruikt zijn eigen SMTP server om zichzelf door
te sturen naar alle adressen in de Windows Adres Boek. Deze
e-mail heeft de volgende karakteristieken:
From: Willekeurige letters@delfi.lt
Subject: het onderwerp kan een van onderstaande teksten zijn:
Gift for you
Urgent NEWs
EBAY Update
Antivirus Update
Urgent Windows UPDATE
Hi, look this attcahment
Hello, please wisit this nice site
Attachment: heeft een willekeurige bestandsnaam.
5. de worm verstuurt zichzelf naar alle adressen van inkomende
mail. Het bericht wat de worm nu creëert heeft de volgende
karakteristieken:
Subject: Re:
Attachment: heeft een willekeurige bestandsnaam.
Message:
I reply as soon as possible to your email
You wrote:----------
Verwijder instructies:
1a. Verwijder het virus met één van de gratis
online scanners
1b. Indien Windows niet meer naar behoren functioneert. Start
uw systeem dan op via een orginele opstartdiskette. Ga vervolgens
naar stap 1.
2. Controleer hierna uw systeem op nog aanwezige bestanden
en registry-regels voor zover nog aanwezig: verwijder deze
handmatig.
Aanpassen van de registry?
Wij adviseren aanpassingen in de registry van Windows alleen
te laten uitvoeren door Windows-specialisten.
3.A. - Start de pc op in de veilige modus, maar sluit eerst
alle programma's af en sluit de pc af.
Haal vervolgens de stroom eraf en wacht 30 seconden (Dit mag
NIET worden overgeslagen!!). Start de pc dan weer op, en door
tijdens het opstarten van de pc de CTRL of F8 knop vast te
houden (afhankelijk van het besturingssysteem) zal er een
menu verschijnen. In dat menu selecteer je dan met behulp
van de pijltjestoetsen de optie veilige modus en dan druk
je op enter.
De pc zal dan opstarten in de veilige modus. In sommige gevallen
kan het gebeuren dat de pc een 'keyboard error' geeft als
je de CTRL of F8 knop indrukt, en in dat geval moet je even
wachten tot de BIOS geladen is en dan de betreffende toets
indrukken. Overigens kan alleen Windows NT niet in de veilige
modus worden opgestart. Bij alle andere versies is dit wel
mogelijk.
3.B. Klik op start en klik dan via programma's op MSDOS prompt.
Een dos scherm zal nu openen waar je als het goed is c:\windows>
ziet staan.
Mocht er achter c:\windows> nog iets staan, type dan cd..
en druk daarna op enter.
Type daar dan copy regedit.exe regedit.com
(letterlijk: copy[spatie]regedit.exe[spatie]regedit.com) en
druk dan op enter.
Type daarna start regedit.com
(letterlijk: start[spatie]regedit.com) en druk dan weer op
enter.
Note voor XP-gebruikers
Het is belangrijk dat je de registry opent van de lokale machine,
en niet van een individuele user. Daarom even de directorie
wijzigen via de instructie cd.. Je komt dan uit in de directorie
C:\Windows
3.C. De register editor zal nu openen, en het wordt ten strengste
aanbevolen om een kopie van het register te maken VOOR dat
je dingen gaat veranderen. Het register is het hart van je
pc en als je hier dingen verkeerd in veranderd en/of verwijderd
is het mogelijk dat je pc niet goed of zelfs helemaal niet
meer werkt. Je kunt een kopie maken door bovenin de register
editor op deze computer te klikken en vervolgens op register
en dan op registerbestand exporteren.
3.D. - Aanpassen van het register.
Het is de bedoeling dat je dan op zoek gaat naar de volgende
sleutel:
- Zie specificatie boven onder "herkenning van besmetting".
- Verwijder beide genoemde registry-sleutels.
3.E. Sluit vervolgens dit venster.
3.F. Sluit de pc af, wacht weer dertig seconden en start
de pc dan op de normale manier op.
3.G. Voor nogmaals een volledige scan uit op uw systeem.
Of met ge-update AV-software of met een online scanner.
|
