От Лабораториите на Panda Software обявиха Orange alert след появяването на вируса Zafi.D. Това е червей, който възпрепятства достъпа до приложения, които съдържат текстовите низове reged, msconfig или task. Заразява компютри с операционни системи Windows 2003/XP/2000/NT/ME/98/95.
Zafi.D се разпространява чрез e-mail съобщения, които се саморазпространяват като коледни поздравления. Освен това се разпространява и през peer-to-peer (P2P) програми за споделяне на файлове.
Zafi.D лесно се разпространява, тъй като веднъж заразил компютъра, при първото му стартиране, показва следното съобщение за грешка на екрана:
Стратегия на заразяване:
Zafi.D създава следните файлове:
- NORTON UPDATE.EXE в системната директория на Windows. Този файл е копие на червея.
- Няколко файла с произволни имена и DLL разширения в системната директория на Windows. Те също са копия на червея.
- S.CM в root директорията на устройство C:. Този файл съдържа списък с планирани задачи.
- Няколко файла с DLL разширение, което съдържа e-mail адресите, които Zafi.D е събира от заразения компютър.
- Няколко негови копия във всички директории, които съдържат текстов стринг share, upload или music.
Zafi.D създава следните входове в Windows Registry:
- HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Wxp4 = %sysdir%\ Norton Update.exe
Създавайки този вход Zafi.D си осигурява стартиране, заедно с това на операционната система.
- HKEY_LOCAL_MACHINE \ SOFTWARE\ Microsoft\ Wxp4
Zafi.D използва това вписване за да съхранява няколко параметъра.
Начин на предаване:
Zafi.D се разпространява по електронна поща и през peer-to-peer (P2P) програми за споделяне на файлове.
1.- Предаване по e-mail.
Zafi.D прави следното:
Достига в електронно съобщение с вариращи характеристики.
Това съобщение може да бъде написано на различни езици, които се променят в зависимост от домейна на получателя. За домейните, които ги няма в следващия списък, съобщението е написано на английски.
Тези електронни писма се разпространяват като коледни поздравления.
Забележка: всяка една от следващите теми, може да бъде предхождана от текстови стрингове Re:, Fw:, или може това поле да бъде празно.
Denmark (.dk):
Sender:
V. Jensen
Subject:
Christmas Kort!
Message:
Glaedelig Jul!
Attachments:
Името на прикачения файл съдържа текстовия стринг EKORT.
