Tento internetov² Φerv bol prv² raz zachyten² v Po╛sku. Vyu₧φva chybu help systΘmu Windows s nßzvom "HTML Help File Code Execution", ktorß umo₧≥uje spustenie spustenie programovΘho k≤du prostrednφctvom systΘmu HTML Help. Tßto chyba postihuje Microsoft Explorer verziφ 4.0, 4.01, 5.0 a 5.01. Podrobn² popis chyby nßjdete na adrese www.microsoft.com/technet/security/bulletin/fq00-037.asp. Ak mßte vo svojom systΘme verziu Internet Explorera, ktorß je postihnutß touto chybou, na adrese www.microsoft.com/TechNet/security/bulletin/ms00-037.asp si m⌠₧ete stiahnu¥ opravu.
╚erv je napφsan² v Delphi, jeho telo je komprimovanΘ utilitou UPX. èφri sa ako sprßva elektronickej poÜty s predmetom nßhodne vybran²m z nasledovnΘho zoznamu:
Romeo&Juliet
:))))))
hello world
!!??!?!?
subject
ble bla, bee
I Love You ;)
sorry...
Hey you !
Matrix has you...
my picture
from shake-beer
Sprßva mß v prφlohe s·bory myjuliet.chm a myromeo.exe. S·bory s prφponou CHM obsahuj· skompilovan² s·bor pre HTML help. Samotnß sprßva je v HTML formßte a obsahuje skript, ktorΘho ·lohou je spusti¥ s·bor myjuliet.chm. Po otvorenφ sprßvy, v ktorej prichßdza Φerv sa vykonß skript a spustφ s·bor myjuliet.chm. Tento help s·bor aktivuje vlastn² k≤d Φervu - s·bor myromeo.exe. Po svojom spustenφ myromeo.exe rozpoÜle svoje k≤pie na adresy v adresßri s vyu₧itφm jednΘho zo serverov umo₧nuj·cich "Relay" elektronickej poÜty pod╛a nasleduj·ceho zoznamu:
212.244.199.2
195.117.152.91
195.116.62.86
194.153.216.60
195.117.99.98
213.25.111.2
Tento Φerv vychßdza z Win32/Verona.A, nßzvy prφloh sa zmenili na xjuliet.chm a xromeo.exe. Spustenie s·boru xromeo.exe prebehne rovnako ako u Win32/Verona.A. RozpoÜle svoje k≤pie a v adresßri C:\Windows\ sa vytvorφ s·bor sysrnj.exe, ktor² obsahuje k≤piu Φerva. Manipulßciou so systΘmov²m registrom vytvorφ asocißciu medzi svojou k≤piu v s·bore sysrnj.exe a prφponami s·borov z nasledovnΘho zoznamu:
exe
jpg
jpeg
jpe
bmp
gif
avi
mpg
mpeg
wmf
wma
wmw
mp3
mp2
vqf
doc
xls
zip
rar
lha
arj
reg
To sp⌠sobφ jej aktivßciu pri dvojitom kliknutφ na s·bor s ktorouko╛vek vyÜÜie uvedenou prφponou. Zoznam subjektov sprßv, ktorΘ pou₧φva tento variant na svoje Üφrenie sa zmenil:
Romeo&Juliet
where is my juliet ?
where is my romeo ?
hi
last wish ???
lol :)
,,...
!!!
newborn
merry christmas!
surprise !
Caution: NEW VIRUS !
scandal !
195.117.117.6
212.244.197.164
195.205.96.185
195.116.104.14
195.117.3.111
195.116.221.65
212.244.67.20
194.181.138.141
195.205.121.183
195.117.88.7
212.160.95.1
212.244.241.81
195.205.208.33
212.106.133.133
195.116.72.5
213.25.175.3
195.117.99.98
213.25.111.2
Za pou₧itia newsservera na adrese 213.25.200.9 (news.tpi.pl) posiela sprßvu do konferencie alt.comp.virus. Sprßva mß pochßdza od "Romeo&Juliet" <romeo@juliet.v>.