První informaci o tomto novém a velmi aktivně se šířím se červu jsme přinesli již v sobotu. Jeho mimořádná aktivita a zejména nový přístup k šíření nás nutí k opakování naší varovné výzvy.
Aktualizováno: Na Internetu se objevil nový červ českého původu. Červ se šíří e-mailem s předmětem "Vtip", nově i „Cervici“ a textem "Cau posilam ti cerviky tak se na to podivej (virus to neni)" s podpisem uživatele, kde v příloze najdete soubor worms.zip. Text e-mailu ovšem nemusí být pouze česky, ale vybírá se podle vhodného jazyka z těchto variant: čeština, slovenština, němčina, francouzština, ruština, angličtina, polština a španělština.
Po rozbalení a spuštění souboru worms.exe se zobrazí dialogové okno s textem „Press restart button to close this application.“ po jehož odkliknutí se po obrazovce začnou malovat barevné klikaté čáry – červíčci.
Mezitím se v adresáři Windows usadí soubor ntkrnl.exe a do registru přidá klíč HLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (%Windows%\System32\ntkrnl.exe -LOADDRIVERS =TRUE). Při každém dalším spuštění počítače se červ snaží pomocí Outlooku odeslat na další e-mailové adresy, které po svém spuštění získal ze seznamu kontaktů ICQ. Pokud nemáte úplně poslední aktualizaci virové databáze, váš antivirus ho nezachytí.
Sociální inženýrství v tomto případě zafungovalo dobře, protože i já jsem se nechal nachytat. Antivirus nic nehlásil, e-mail byl česky a od osoby, které důvěřuji. Tímto se postiženým VELICE omlouvám.
Jak červa odstranit?
- Vymažte klíč v registrech,
- vymažte všechny soubory ntkrnl.exe, ntoskrnl.dat, worms.zip a worms.exe,
- stáhněte si poslední aktualizaci virové databáze a prověřte systém.
Poznámka: Pokud používáte Norton Antivirus nepoužívejte LiveUpdate, definice nového červa není on-line zatím dostupná. Pro LiveUpdate bude připravena až 27. března. Stáhněte si ji sami a nainstalujte pomocí Intelligent Updateru.
Červíky již detekují AVG, AVAST! s mimořádnými víkendovými aktualizacemi.
