Cuando se ejecuta, se copia a si mismo dentro de siguiente carpeta:
c:\windows\system\Manutenzione.xls.vbs
c:\windows\system\Chktsk32.vbs
De acuerdo a la versión del sistema operativo, las carpetas "c:\windows" y "c:\windows\system32" pueden variar ("c:\winnt", "c:\winnt\system32", "c:\windows\system").
Para ejecutarse en cada inicio del sistema crea la siguiente entrada:
HKLM\Software\Microsoft\Windows
\CurrentVersion\RunServices
FileMgr32 = Wscript.exe Chktsk32.vbs
Los mensajes enviados por el gusano a todos los contactos de la libreta de direcciones de Windows, tienen las siguientes características:
Asunto: Vostro ordine
Texto del mensaje:
Salve, vi mando in allegato il vostro
ordine del mese precedente.
Datos adjuntos: Manutenzione.xls.vbs
Luego de enviar cada mensaje, crea la siguiente entrada en el registro para evitar enviarse nuevamente a las mismas direcciones:
HKCU\Software\WSHWC\Catarro\[dirección]=WSHWC
Luego busca en todas las unidades locales y de red que contengan una carpeta Windows\System\ e infecta todos los archivos con extensión VBS y VBE.
El virus también es capaz de borrar en las mismas carpetas, todos los archivos con extensión AVI, DOC, HTM, HTML, JPG y MPG, sobrescribiéndolos con una copia de si mismo y renombrándolos con el agregado de la extensión .VBS.
Si se ejecuta un 17 de enero, el virus deshabilita el teclado y el ratón del equipo infectado.
|
