Původní podoba příspěvku
Surová data tak, jak byla v roce 2013 stažena z Pandory (HTML zdroj bez úprav, osobní e-mailové adresy jsou maskované).
<!--------------------------------------------------------------> <table width="100%"><tr><td align="left" valign="middle"></td><td align=right valign="middle"></td></tr></table><BR><pre>Dobry den, Prosim venujte teto zprave pozornost !!!! Za me nepritomnosti byl muj pocitac <img src="BODY_IMAGES_WRAP_GIF"> infikovan virem "I-Worm.Sircam.A" ktery se pravdepodobne rozeslal na vsechny <img src="BODY_IMAGES_WRAP_GIF">adresy v mem adresari. V kazdem pripade pokud se jedna o mail s prilohou, <img src="BODY_IMAGES_WRAP_GIF">okamzite jej smazejte. Velmi se za to omlouvam a jako dodatek zasilam popis a <img src="BODY_IMAGES_WRAP_GIF">postup pro odstraneni viru (AVG jej detekuje az od aktualizace 265). S pozdravem Zdenek Adler P.S.: Jako male odskodneni si stahnete novou verzi emulatoru (tentokrate jiz <img src="BODY_IMAGES_WRAP_GIF">nezavirovanou) z http://mz-800.hyperlink.cz utilita pro jeho odstranění I-Worm/Sircam.A Další roztomilý mazlíček se začal šířit včera ráno (našeho času). <img src="BODY_IMAGES_WRAP_GIF">Jde o cca 134kB bubmbrdlíčka napsaného v Delphi. Soudě dle zašifrovaných textů pochází z Mexika: [SirCam Version 1.0 Copyright (c) 2001 2rP Made in / Hecho en - Cuitzeo, Michoacan Mexico] Tento text mimochodem obsahuje i v poněkud "odtučněné" verzi: [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX] Posílá se mailem, který má jako subject jméno přiloženého souboru a <img src="BODY_IMAGES_WRAP_GIF">jehož text sestavuje z těchto vět: Hi! How are you? See you later. Thanks I send you this file in order to have your advice I hope you can help me with this file that I send I hope you like the file that I sendo you This is the file with the information that you ask for Pokud má uživatel ve Windows jako preferovaný jazyk nastavenou <img src="BODY_IMAGES_WRAP_GIF">španělštinu, tak se tomu virus přizpůsobí: Hola como estas ? Nos vemos pronto, gracias. Te mando este archivo para que me des tu punto de vista Espero me puedas ayudar con el archivo que te mando Espero te guste este archivo que te mando Este es el archivo con la informacion que me pediste Přiložený soubor je vytvořen z vlastního těla wormu, za kterým je <img src="BODY_IMAGES_WRAP_GIF">připojen náhodně vybraný soubor (archív, dokument, spustitelný soubor) <img src="BODY_IMAGES_WRAP_GIF">pocházející z infikovaného počítače. Původní jméno je zachováno, worm <img src="BODY_IMAGES_WRAP_GIF">si pouze připojí další příponu (pif, lnk, bat nebo com). Po spuštění se Sircam nakopíruje do několika různých adresářů pod <img src="BODY_IMAGES_WRAP_GIF">různými jmény: SirC32.exe, SCam32.exe, SirC32.exe, ScMx32.exe, Microsoft Internet Office.exe a rundll32.exe Poté zrekonstruuje kopii dokumentu, pod jehož jménem dorazil a pokud jde o <img src="BODY_IMAGES_WRAP_GIF">EXE file, tak ho rovnou spustí (ve snaze nebýt příliš nápadný). Pro <img src="BODY_IMAGES_WRAP_GIF">ostatní typy souboru se pokusí v HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'App Paths\'\' najít vhodnou aplikaci k otevření: Winzip pro .ZIP soubory, Excel pro .XLS a <img src="BODY_IMAGES_WRAP_GIF">WinWord (nebo alespoň WordPad) pro .DOC. Své pravidelné spouštění při startu počítače se snaží si zajistit <img src="BODY_IMAGES_WRAP_GIF">zápisem do hodnoty Driver32 klíče HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'RunServices\'\' a modifikací klíče HKCR\'\'exefile\'\'shell\'\'open\'\'command (stejný trik používá například I-Worm/PrettyPark). Jako většina novějších virů se i tento umí šířit po sdílených <img src="BODY_IMAGES_WRAP_GIF">discích v rámci lokální sítě. Na namapovaných discích preferuje <img src="BODY_IMAGES_WRAP_GIF">adresáře \'\'recycled a \'\'windows a své spouštění se pokusí zajistit <img src="BODY_IMAGES_WRAP_GIF">vložením řádky @win a odkazem na virus do \'\'autoexec.bat nebo tím, že <img src="BODY_IMAGES_WRAP_GIF">zamění systémový soubor rundll32.exe svou kopii. Upozornění: Nemažte prosím soubory viru dříve, než opravíte záznam v <img src="BODY_IMAGES_WRAP_GIF">registru - nebyli byste potom schopni spustit žádný .exe soubor! AVG ho detekuje od aktualizace 265. --- Odchozí zpráva neobsahuje viry. Zkontrolováno antivirovým systémem AVG (http://www.grisoft.cz). Verze: 6.0.265 / Virová báze: 137 - datum vydání: 18.7.2001</pre>