Původní podoba příspěvku
Surová data tak, jak byla v roce 2013 stažena z Pandory (HTML zdroj bez úprav, osobní e-mailové adresy jsou maskované).
<!--------------------------------------------------------------> <table width="100%"><tr><td align="left" valign="middle"></td><td align=right valign="middle"></td></tr></table><BR><pre>Ahoj Zdeněk, mám tomu rozumieť tak, že predošlá verzia EMU bola zavírená? Marek. ----- Original Message ----- From: "Zdenek Adler - Počítač SHARP MZ-800 a emulátory" <zdeneka@[doména skryta]> To: "Účastníci konference Počítač SHARP MZ-800 a emulátory" <sharpemu@pandora.cz> Sent: Monday, July 30, 2001 12:00 PM Subject: !!! POZOR VIRUS !!! <span class="replyquote1">> Dobry den, > > Prosim venujte teto zprave pozornost !!!! Za me nepritomnosti byl muj </span>pocitac infikovan virem "I-Worm.Sircam.A" ktery se pravdepodobne rozeslal na vsechny adresy v mem adresari. V kazdem pripade pokud se jedna o mail s prilohou, okamzite jej smazejte. Velmi se za to omlouvam a jako dodatek zasilam popis a postup pro odstraneni viru (AVG jej detekuje az od aktualizace 265). <span class="replyquote1">> > S pozdravem > > Zdenek Adler > > P.S.: Jako male odskodneni si stahnete novou verzi emulatoru (tentokrate </span>jiz nezavirovanou) z http://mz-800.hyperlink.cz <span class="replyquote1">> > utilita pro jeho odstranění > I-Worm/Sircam.A > Další roztomilý mazlíček se začal šířit včera ráno (našeho času). <img src="BODY_IMAGES_WRAP_GIF"> Jde o </span>cca 134kB bubmbrdlíčka napsaného v Delphi. <span class="replyquote1">> > Soudě dle zašifrovaných textů pochází z Mexika: > > [SirCam Version 1.0 Copyright (c) 2001 2rP > Made in / Hecho en - Cuitzeo, Michoacan Mexico] > > Tento text mimochodem obsahuje i v poněkud "odtučněné" verzi: > > [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX] > Posílá se mailem, který má jako subject jméno přiloženého souboru a <img src="BODY_IMAGES_WRAP_GIF">jehož </span>text sestavuje z těchto vět: <span class="replyquote1">> > Hi! How are you? > See you later. Thanks > I send you this file in order to have your advice > I hope you can help me with this file that I send > I hope you like the file that I sendo you > This is the file with the information that you ask for > > Pokud má uživatel ve Windows jako preferovaný jazyk nastavenou </span>španělštinu, tak se tomu virus přizpůsobí: <span class="replyquote1">> > Hola como estas ? > Nos vemos pronto, gracias. > Te mando este archivo para que me des tu punto de vista > Espero me puedas ayudar con el archivo que te mando > Espero te guste este archivo que te mando > Este es el archivo con la informacion que me pediste > > Přiložený soubor je vytvořen z vlastního těla wormu, za kterým je <img src="BODY_IMAGES_WRAP_GIF">připojen </span>náhodně vybraný soubor (archív, dokument, spustitelný soubor) <img src="BODY_IMAGES_WRAP_GIF">pocházející z infikovaného počítače. Původní jméno je zachováno, worm si pouze <img src="BODY_IMAGES_WRAP_GIF">připojí další příponu (pif, lnk, bat nebo com). <span class="replyquote1">> > Po spuštění se Sircam nakopíruje do několika různých adresářů pod <img src="BODY_IMAGES_WRAP_GIF">různými </span>jmény: <span class="replyquote1">> > SirC32.exe, SCam32.exe, SirC32.exe, ScMx32.exe, > Microsoft Internet Office.exe a rundll32.exe > > Poté zrekonstruuje kopii dokumentu, pod jehož jménem dorazil a pokud jde o </span>EXE file, tak ho rovnou spustí (ve snaze nebýt příliš nápadný). Pro <img src="BODY_IMAGES_WRAP_GIF">ostatní typy souboru se pokusí v <span class="replyquote1">> > HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'App Paths\'\' > > najít vhodnou aplikaci k otevření: Winzip pro .ZIP soubory, Excel pro .XLS </span>a WinWord (nebo alespoň WordPad) pro .DOC. <span class="replyquote1">> > Své pravidelné spouštění při startu počítače se snaží si zajistit <img src="BODY_IMAGES_WRAP_GIF">zápisem </span>do hodnoty Driver32 klíče <span class="replyquote1">> > HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'RunServices\'\' > > a modifikací klíče > > HKCR\'\'exefile\'\'shell\'\'open\'\'command > > (stejný trik používá například I-Worm/PrettyPark). > > Jako většina novějších virů se i tento umí šířit po sdílených <img src="BODY_IMAGES_WRAP_GIF">discích v </span>rámci lokální sítě. Na namapovaných discích preferuje adresáře <img src="BODY_IMAGES_WRAP_GIF">\'\'recycled a \'\'windows a své spouštění se pokusí zajistit vložením řádky @win a <img src="BODY_IMAGES_WRAP_GIF">odkazem na virus do \'\'autoexec.bat nebo tím, že zamění systémový soubor <img src="BODY_IMAGES_WRAP_GIF">rundll32.exe svou kopii. <span class="replyquote1">> > Upozornění: Nemažte prosím soubory viru dříve, než opravíte záznam v </span>registru - nebyli byste potom schopni spustit žádný .exe soubor! <span class="replyquote1">> > AVG ho detekuje od aktualizace 265. > > > --- > Odchozí zpráva neobsahuje viry. > Zkontrolováno antivirovým systémem AVG (http://www.grisoft.cz). > Verze: 6.0.265 / Virová báze: 137 - datum vydání: 18.7.2001 > > > > --- > Bajecny novy obchod s mobilnimi telefony Go a Twist najdete na </span>http://www.telstore.cz - vyzkousejte a kupujte lacino! <span class="replyquote1">> -------------------------------------------------------------------------- > Informace o odhlaseni najdete na </span>http://www.pandora.cz/howto-leaveconf.php3 <span class="replyquote1">></pre>