4 июля 2000 г.

Антивирусная лаборатория "ЦЕБИТ" сообщила о появлении нового Internet-червя I-Worm.Dilber.

    Червь приходится "родственником" вирусу I-Worm.Silver и, скорее всего, написан тем же автором. Так же, как и "Silver", он является приложением Windows и написан на языке Delphi. Вирус рассылает себя в письмах электронной почты и заражает компьютеры в локальной сети.

При запуске червь инсталлирует себя в систему. Для этого он дважды копирует себя в каталог Windows с именами: SETUP_.EXE, DILBERTDANCE.JPG.EXE. Файл SETUP_.EXE затем регистрирует себя в секциях автоматического запуска системного реестра.

При рассылке писем со своей копией червь создает и запускает дополнительный скрипт-файл SENDMAIL.VBS. Скрипт червя открывает каталог входящих писем (Inbox), считывает их и отвечает на 20 писем. При этом заголовок письма не изменяется (добавляется стандартный префикс "Re"), а текст и имя вложения содержат следующее:

Текст:
======
Hi "sendername"
Received your mail, and will send you a reply ASAP
Until then, check out this funny Dilbert Dance (attached)

Имя вложения: dilbertdance.jpg.exe

где "sendername" является именем отправителя письма, на которое посылается зараженный "ответ").

Червь помечает все письма, на которые он послал ответ, символом табуляции в конце заголовка письма (символ табуляции при этом невидим). Затем, при повторной рассылке писем, червь проверяет входящие письма и не отвечает на те из них, которые содержат символ табуляции, т.е. не отвечает на одно и то же письмо дважды. Червь также запоминает в файле WINDOWS.EXE в каталоге Windows все адреса, на которые были отправлены зараженные письма. Червь также не посылает письма на адреса, если в них содержатся строки: .mil, .gov, admin, master, abuse.

Для заражения компьютеров в локальной сети червь на все доступных дисках каталог Windows и, если такой есть, копирует в него свою копию и регистрирует ее в секции автозапуска в файле WIN.INI (в случае Win9x) или в системном реестре (WinNT). Таким образом, червь способен заражать удаленные компьютеры, если к их дискам открыт полный доступ.

    По материалам пресс-релиза компании "ЦЕБИТ"