Původní podoba příspěvku
Surová data tak, jak byla v roce 2013 stažena z Pandory (HTML zdroj bez úprav, osobní e-mailové adresy jsou maskované).
<!--------------------------------------------------------------> <table width="100%"><tr><td align="left" valign="middle"></td><td align=right valign="middle"></td></tr></table><BR><pre>Ahoj Marku, emulator zavirovany nebyl!!! Slo pouze o to, ze vcera mi me PC v praci zacalo na vsechny adresy z adresbooku rozesilat nahodne soubory v priloze s textem, ktery byl uveden v popisu viru. <span class="replyquote2">> > Hi! How are you? > > See you later. Thanks > > I send you this file in order to have your advice > > I hope you can help me with this file that I send > > I hope you like the file that I sendo you > > This is the file with the information that you ask for </span> Pokud jsi tedy nic nedostal, jsem rad :-) Doslo to na cca 20 adres ze 120-ti. Jeste jednou se omlouvam Zdenek P.S.: Mam ti poslat zdrojaky emulatoru? ----- Original Message ----- From: <smihla@[doména skryta]> To: Účastníci konference Počítač SHARP MZ-800 a emulátory <sharpemu@pandora.cz> Sent: Monday, July 30, 2001 6:48 PM Subject: Re: !!! POZOR VIRUS !!! <span class="replyquote1">> Ahoj Zdeněk, > > mám tomu rozumieť tak, že predošlá verzia EMU bola zavírená? > > Marek. > > ----- Original Message ----- > From: "Zdenek Adler - Počítač SHARP MZ-800 a emulátory" </span><zdeneka@[doména skryta]> <span class="replyquote1">> To: "Účastníci konference Počítač SHARP MZ-800 a emulátory" > <sharpemu@pandora.cz> > Sent: Monday, July 30, 2001 12:00 PM > Subject: !!! POZOR VIRUS !!! > > </span><span class="replyquote2">> > Dobry den, > > > > Prosim venujte teto zprave pozornost !!!! Za me nepritomnosti byl muj </span><span class="replyquote1">> pocitac infikovan virem "I-Worm.Sircam.A" ktery se pravdepodobne rozeslal </span>na <span class="replyquote1">> vsechny adresy v mem adresari. V kazdem pripade pokud se jedna o mail s > prilohou, okamzite jej smazejte. Velmi se za to omlouvam a jako dodatek > zasilam popis a postup pro odstraneni viru (AVG jej detekuje az od > aktualizace 265). </span><span class="replyquote2">> > > > S pozdravem > > > > Zdenek Adler > > > > P.S.: Jako male odskodneni si stahnete novou verzi emulatoru (tentokrate </span><span class="replyquote1">> jiz nezavirovanou) z http://mz-800.hyperlink.cz </span><span class="replyquote2">> > > > utilita pro jeho odstranění > > I-Worm/Sircam.A > > Další roztomilý mazlíček se začal šířit včera ráno (našeho <img src="BODY_IMAGES_WRAP_GIF"> času). Jde o </span><span class="replyquote1">> cca 134kB bubmbrdlíčka napsaného v Delphi. </span><span class="replyquote2">> > > > Soudě dle zašifrovaných textů pochází z Mexika: > > > > [SirCam Version 1.0 Copyright (c) 2001 2rP > > Made in / Hecho en - Cuitzeo, Michoacan Mexico] > > > > Tento text mimochodem obsahuje i v poněkud "odtučněné" verzi: > > > > [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX] > > Posílá se mailem, který má jako subject jméno přiloženého souboru a </span>jehož <span class="replyquote1">> text sestavuje z těchto vět: </span><span class="replyquote2">> > > > Hi! How are you? > > See you later. Thanks > > I send you this file in order to have your advice > > I hope you can help me with this file that I send > > I hope you like the file that I sendo you > > This is the file with the information that you ask for > > > > Pokud má uživatel ve Windows jako preferovaný jazyk nastavenou </span><span class="replyquote1">> španělštinu, tak se tomu virus přizpůsobí: </span><span class="replyquote2">> > > > Hola como estas ? > > Nos vemos pronto, gracias. > > Te mando este archivo para que me des tu punto de vista > > Espero me puedas ayudar con el archivo que te mando > > Espero te guste este archivo que te mando > > Este es el archivo con la informacion que me pediste > > > > Přiložený soubor je vytvořen z vlastního těla wormu, za kterým je </span>připojen <span class="replyquote1">> náhodně vybraný soubor (archív, dokument, spustitelný soubor) <img src="BODY_IMAGES_WRAP_GIF">pocházející </span>z <span class="replyquote1">> infikovaného počítače. Původní jméno je zachováno, worm si pouze <img src="BODY_IMAGES_WRAP_GIF">připojí > další příponu (pif, lnk, bat nebo com). </span><span class="replyquote2">> > > > Po spuštění se Sircam nakopíruje do několika různých adresářů pod </span>různými <span class="replyquote1">> jmény: </span><span class="replyquote2">> > > > SirC32.exe, SCam32.exe, SirC32.exe, ScMx32.exe, > > Microsoft Internet Office.exe a rundll32.exe > > > > Poté zrekonstruuje kopii dokumentu, pod jehož jménem dorazil a pokud jde </span>o <span class="replyquote1">> EXE file, tak ho rovnou spustí (ve snaze nebýt příliš nápadný). Pro </span>ostatní <span class="replyquote1">> typy souboru se pokusí v </span><span class="replyquote2">> > > > HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'App Paths\'\' > > > > najít vhodnou aplikaci k otevření: Winzip pro .ZIP soubory, Excel pro </span>.XLS <span class="replyquote1">> a WinWord (nebo alespoň WordPad) pro .DOC. </span><span class="replyquote2">> > > > Své pravidelné spouštění při startu počítače se snaží si <img src="BODY_IMAGES_WRAP_GIF">zajistit </span>zápisem <span class="replyquote1">> do hodnoty Driver32 klíče </span><span class="replyquote2">> > > > HKLM\'\'Software\'\'Microsoft\'\'Windows\'\'CurrentVersion\'\'RunServices\'\' > > > > a modifikací klíče > > > > HKCR\'\'exefile\'\'shell\'\'open\'\'command > > > > (stejný trik používá například I-Worm/PrettyPark). > > > > Jako většina novějších virů se i tento umí šířit po sdílených <img src="BODY_IMAGES_WRAP_GIF">discích v </span><span class="replyquote1">> rámci lokální sítě. Na namapovaných discích preferuje adresáře <img src="BODY_IMAGES_WRAP_GIF">\'\'recycled </span>a <span class="replyquote1">> \'\'windows a své spouštění se pokusí zajistit vložením řádky @win a <img src="BODY_IMAGES_WRAP_GIF">odkazem > na virus do \'\'autoexec.bat nebo tím, že zamění systémový soubor </span>rundll32.exe <span class="replyquote1">> svou kopii. </span><span class="replyquote2">> > > > Upozornění: Nemažte prosím soubory viru dříve, než opravíte záznam <img src="BODY_IMAGES_WRAP_GIF">v </span><span class="replyquote1">> registru - nebyli byste potom schopni spustit žádný .exe soubor! </span><span class="replyquote2">> > > > AVG ho detekuje od aktualizace 265. > > > > > > --- > > Odchozí zpráva neobsahuje viry. > > Zkontrolováno antivirovým systémem AVG (http://www.grisoft.cz). > > Verze: 6.0.265 / Virová báze: 137 - datum vydání: 18.7.2001 > > > > > > > > --- > > Bajecny novy obchod s mobilnimi telefony Go a Twist najdete na </span><span class="replyquote1">> http://www.telstore.cz - vyzkousejte a kupujte lacino! > > -------------------------------------------------------------------------- </span><span class="replyquote2">> > Informace o odhlaseni najdete na </span><span class="replyquote1">> http://www.pandora.cz/howto-leaveconf.php3 </span><span class="replyquote2">> > </span><span class="replyquote1">> > > --- > Bajecny novy obchod s mobilnimi telefony Go a Twist najdete na </span>http://www.telstore.cz - vyzkousejte a kupujte lacino! <span class="replyquote1">> -------------------------------------------------------------------------- > Informace o odhlaseni najdete na </span>http://www.pandora.cz/howto-leaveconf.php3 <span class="replyquote1">> </span> --- Odchozí zpráva neobsahuje viry. Zkontrolováno antivirovým systémem AVG (http://www.grisoft.cz). Verze: 6.0.265 / Virová báze: 137 - datum vydání: 18.7.2001</pre>