IRC-Worm.Win32.Hellfire.a

Материал из Total Malware Info

IRC-Worm.Win32.Hellfire.a Червь распространяющий себя через IRC. Является приложением Windows (PE-EXE файл). Имеет размер 11 264 байта. Упакован при помощи UPX, распакованный размер ~53 кб.

Содержание 1 Инсталляция 2 Деструктивная активность 3 Записывает в файл 4 следующие строки: 5 Рекомендации по удалению

Инсталляция

Копирует свой исполняемый файл как:

c:\mirc32\dirtysexsluts.scr

Деструктивная активность

Записывает в файл

c:\mirc32\mirc.ini

следующие строки:

 [rfiles]
n100=safe.ini

Создает файл:

c:\mirc\safe.ini

в который записывает свой скрипт, который выполняет следующие действия - когда в канале появляется пользователь “uncahellmang” червь сообщает ему следующую информацию: IP адрес компьютера, версию и тип ОС, текущую дату, время и адрес электронной почты из настроек mIRC. Всем входящим в канал пользователями посылает сообщение:

http://hammer.*******ing.com/~nemo2k/freesex.htmlVisit this great NEW site now for 100% FREE Sex Pics And Movies. No Strings Attached

после которого посылает используя сервис DCC следующий файл:

c:\mirc32\dirtysexsluts.scr

Открывает большое количество TCP портов на компьютере пользователя и уведомляет участника канала с ником “uncahellmang” о попытках установки соединения к открытым червем портам.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить процесс червя.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файлы:

c:\mirc32\dirtysexsluts.scr
c:\mirc\safe.ini