VBS/Season: новый интернет-червь появился в «диком виде»

VBS/Season — деструктивныйи интернет-червь, прибывающий в письме электронной почты. Червь пытается удалить все .TXT, .MP3, .BMP, .JPG, .GIF, .ZIP, .EXE и .WAV файлы из директории C:MyDocu~1.

При активизации червь выводит на экран message box с заголовком «Important Message: Bill Gates». Текст сообщения:

«This is a very important message from Bill Gates. New Virus Will be out this season, look out for it!!»

Если пользователь нажмет кнопку «OK», то появится второй message box с заголовком «Important Message» и текстом:

«There will be a text file on your desktop. Please Read Carefully»

Червь записывает свой файл IMPORTANTMESSAGE.TXT на рабочий стол (desktop), который содержит текст:

«Message From Bill Gates. Please be alert that there will be new virus be out this season. Please Look Out!!! Pass this message to other people».

[«Важное сообщение от Билла Гейтса. Пожалуйста опасайтесь нового вируса, который появится в этом сезоне. Пожалуйста будьте осмотрительны!!! Пошлите это сообщение другим людям»]

Вирус также копирует себя в следующие файлы:

C:windowsimportant.txt.vbs
C:important.txt.vbs
C:windowssystemimportant.txt.vbs
C:MyDocumentsimportant.txt.vbs

Расширение .VBS при этом может не отображаться, т.к. часто бывает скрыто программой Windows Explorer.

Если на инфицированном компьютере установлен клиент mIRC (Internet Relay Chat), то вирус переписывает файл SCRIPT.INI таким образом, чтобы копия червя была послана другим пользователям чат-каналов. Сообщение, посылаемое вирусом в чат гласит: «This is to spread the important message from Bill Gate». («Это важное сообщение от Билла Гейтса»)

Помимо перечисленного вирус создает файл C:WINDOWSStart MenuProgramsStartUpSpreadByADrive.txt.vbs, который пытается записывать копию червя на гибкий диск во время старта Windows.

Червь также переписывает файл AUTOEXEC.BAT, записывая в него инструкции показывать сообщение:

«Important Message!! Message From Bill Gates New viruses is out this season!!! Look Out!!!»

после чего при перезагрузке зараженной машины пытается удалить все .TXT, .MP3, .BMP, .JPG, .GIF, .ZIP, .EXE и .WAV файлы из директории C:MyDocu~1.