Merlin.C - robak z wieloma procedurami
-
- Krzysztof Arkuszewski,
- 16.08.2001
Merlin.C jest robakiem internetowym napisanym w języku Visual Basic Script, którego działanie poza rozsyłaniem się pocztą elektroniczną, IRCem i Gnutellą, polega również na nadpisywaniu, usuwaniu i ukrywaniu określonych plików.
Zwykle robak pojawia się w komputerze ofiary w treści listu elektronicznego napisanego w HTMLu, o następujących parametrach:
Temat: <jeden z następujących>
Treść:
You need ActiveX enabled if you want to see this e-mail.
Please open this message again and click accept ActiveX.
Microsoft
Po uruchomieniu robak tworzy własne kopie w pliku o losowej nazwie oraz w pliku c:\windows\anarchycookbook.html w katalogu systemu Windows, a także w plikach w katalogu z którego został uruchomiony:
XXXPasswords.html
Pamela - SexVideo.avi.vbs
Silva Saint - Blowjob.avi.vbs
Britney Spears - Nude.jpg.vbs
Dante - Miss California.mp3.vbs
Silver - Turn the tide.mp3.vbs
Queen - Show must go on.mp3.vbs
R Kelly - Fiesta.mp3.vbs
Inari Vachs - Gangbang.avi.vbs
Dodatkowo Merlin.C modyfikuje tak rejestr, by jego kopia była uruchamiana przy każdym uruchomieniu pliku z jednym z następujących rozszerzeń: .js, .doc, .gif, .jpg, .hlp, .bmp, .avi, .mpg, .shs, .mp3. Ponadto w ramach zmian w rejestrach obniża poziom zabezpieczeń przeglądarki Internet Explorer.
W kolejnym etapie swego działania robak rozpoczyna procedury dystrybucji. Polegają one na tworzeniu kopii w udostępnionych do zapisu zasobach komputerów w sieci lokalnej, rozsyłaniu swoich kopii za pomocą poczty elektronicznej do wszystkich adresatów znajdujących się w książce adresowej systemu Windows, modyfikacji skryptu startowego programu mIRC dla rozsyłania się na kanałach IRCa oraz modyfikacji pliku gnutella.ini dla rozsyłania się w systemie wymiany plików Gnutella.
Zobacz również:
Dla ukrycia swojego działania robak usuwa wszystkie listy elektroniczne o temacie takim z jakim rozsyłane są jego kopie. Na koniec swego działania robak rozpoczyna działania destrukcyjne. Polegają ona na:
Dodatkowo robak pobiera z Internetu plik, który zapisuje jako c:\windows\system.cih.exe i uruchamia go oraz tworzy 10 000 losowo nazwanych katalogów w katalogu głównym dysku c:, w których umieszcza po jednym pliku tekstowym.
Ostatecznie po trzech lub więcej dniach od momentu pierwszej infekcji Merlin dodaje wpisy do pliku c:\autoexec.bat mające na celu usunięcie całej zawartości dysku C: oraz stara się usunąć pliki zawierające rejestr - user.dat i system.dat.
