Újabb változat jelent meg a Netsky féregvírusból
[Szezám] Az AVERT, a Network Associates vírusszakértői csoportja magasabb veszélyességi kategóriába sorolta át a W32/Netsky.q@MM férget. A közlemény szerint a Netsky.q közepes veszélyt jelent az otthoni és a vállalati felhasználók számára egyaránt. Az új besorolást az előfordulás gyakoriságának növekedése tette szükségessé. A W32/Netsky.q@MM vírust március 28-án fedezték fel.
A féreg saját SMTP motorral rendelkezik és a számítógépen található fájlokból kinyert címekre továbbítja magát. A fertőzött email feladója hamis, a tárgy az alábbi listából véletlenszerűen választott:
- Delivery Bot
- Server Error
- Deliver Mail
- Delivery Failed
- Unknown Exception
- Failed
- Failure
- Status
- Error
- Delivered Message
- Mail System
- Mail Delivery System
- Mail Delivery failure
- Delivery
- Delivery Failure
- Delivery Error
A levél törzse az alábbi listában szereplő szövegek valamelyike:
- Received message has been sent as a binary file.
- Modified message has been sent as a binary attachment.
- Received message has been sent as an encoded attachment.
- Translated message has been attached!
- Message has been sent as a binary attachment
- Received message has been attached
- Partial message is available and has been sent as a binary attachment.
- The message has been sent as a binary attachment.
- Delivery Agent - Translation failed.
- Delivery Failure - Invalid mail specification.
- Mail Delivery Failure - This mail couldn't be shown.
- Mail Delivery System - This mail contains binary characters.
- Mail Transaction Failed - This mail couldn't be converted
- Mail Delivery Error - This mail contains unicode characters
- Mail Delivery Failed - This mail couldn't be represented
- Mail Delivery - This mail couldn't be displayed
A csatolt állomány egy mail, msg, message, Note vagy data nevű, véletlenszerű számot tartalmazó, pif,scr, zip vagy eml kiterjesztésű fájl.
A vírus Microsoft Internet Explorer (5.01-es, vagy 5.5-ös SP2 nélküli verzióinak) sérülékenységét használja ki, amely miatt egy hibás MIME fejléc tetszőleges kód futtatását teszi lehetővé. A vírus SysMonXP.exe néven másolja magát a Windows rendszerkönyvtárba. Ugyanabban a könyvtárban létrehozza a base64.tmp, firewalllogger.txt, zipo0.txt, zipo1.txt, zipo2.txt, zipo3.txt, zippedbase64.tmp és sysmonxp.exe az fájlokat.