Энциклопедия компьютерных вирусов
VBS.Monopoly
Вирус-червь, использующий MS Outlook для распространения своих копий через электронную почту. Основное отличие этого червя от предыдущих ("Melissa" и "Papa") - использование скрипта Visual Basic вместо макроязыка документов MS Office.
Червь дважды зашифрован, чтобы усложнить его анализ.
Червь "прибывает" на компьютер в сообщении электронной почты в виде файла "MONOPOLY.VBS". Если этот файл, содержащий скрипт Visual Basic (VBScript), запустить на выполнение, он создает во временном каталоге файл-картинку "MONOPOLY.JPG", файл "MONOPOLY.VBE", содержащий зашифрованный VBScript и файл "MONOPOLY.WSH", который используется чтобы запустить VBE-файл.
Будучи запущенным VBScript из VBE-файла выводит на экран сообщение:
Bill Gates is guilty of monopoly. Here is the proof
Затем он показывает картинку, на которой изображено лицо Билла Гейтса на фоне поля игры "Монополия".
Процедура распространения этого червя почти такая же как процедура из вируса "Melissa"- червь рассылает свои копии на все адреса из адресно книги Outlook. Рассылаемое сообщение содержит файл "MONOPOLY.VBS".
Тема сообщения:
Bill Gates joke
Текст сообщения:
Bill Gates is guilty of monopoly. Here is the proof. :-)
Червь отсылает еще одно сообщение на адреса:
monopoly@mixmail.com, monpooly@telebot.com, mooponly@ciudad.com.ar, mloponoy@usa.net, yloponom@gnwmail.com
В этом сообщении червь отправляет адреса из адресной книги Outlook, UIN файлы программы ICQ а также информацию из системного реестра Windows:
- Имя пользователя и организация на которого зарегистрирована Windows
- Сетевое имя компьютера
- DVD регион
- Телефонный код страны и города(района)
- Язык
- Версия Windows
- Начальная страница Internet Explorer
После этого червь изменяет системный реестр:
"HKEY_LOCAL_MACHINE\Software\OUTLOOK.Monopoly\" = "True"
Таким образом он оставляет отметку на компьютере и будучи запущенным на этом компьютере в следующий раз не рассылает никаких сообщений.
Демонстрации вирусных эффектов:
|
monopoly.jpg |
