Robak ten rozprzestrzenia się za pośrednictwem Internetu jako załącznik do zainfekowanych wiadomości oraz poprzez kanały IRC. Ma postać pliku BAT o rozmiarze 4536 bajtów.

Instalacja

Po uruchomieniu robak kopiuje swoje ciało do następujących folderów o poniższych nazwach:

C:XPxp.bat
C:Recycledxp.bat
C:WindowsHTTPRedirect.htm.bat
C:WindowsSystem32Redirection.exe.bat
C:WindowsCommandPageRedirect.asp.bat
C:Redirect.php.bat
C:WindowsSystemRedirection.bat
C:WindowsXPUpgrade.bat

Aby zapewnić sobie automatyczne uruchamiania wraz z restartem systemu, robak rejestruje swój plik wykonywalny w rejestrze systemowym:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
"PX" = "C:XPxp.bat"
"PXV" = "C:Recycledxp.bat"

Rozprzestrzenianie

Robak rozprzestrzenia siÄ™ na dwa sposoby.

• Rozprzestrzeniane za poÅ›rednictwem kanałów IRC:

  Jeśli program o nazwie "mIRC" zostanie zainstalowany na zaatakowanej maszynie, robak podstawi plik o nazwie "script.ini" w miejsce "C:mIRCscript.ini". Plik ten zawiera polecenia wysłania ciała robaka do użytkowników za pośrednictwem kanału IRC.

• Rozprzestrzeniane za poÅ›rednictwem Internetu, jako zaÅ‚Ä…cznik do zainfekowanych wiadomoÅ›ci:

  Robak tworzy następujący plik:

  C:X.vbs
  

  Plik wysyła kopię robaka na wszystkie adresy w książce adresowej programu Outlook Express.

Charakterystyka zainfekowanych wiadomości

• Temat wiadomoÅ›ci (wybierany losowo z poniższej listy):

  Take a look at this.. 
  Hi there! 
  Hello! 
  I wanna tell you how much I adore you.. 
  

• Treść wiadomoÅ›ci: (wybierana losowo z poniższej listy):

Hi there..You've just won a free backstage pass... Watch your favourite 
band/boyband perform live..Just tell us who do you want to see by clicking at this 
redirection software.. We make dreams come true..FreePasses.com
Hey.. Your mom sent me this message.. How dare your mom talk to me like that.. Shit!
Hello former classmate.. I'm Heather and I have included a file which will redirect you 
to my 
webpage.. Full of nude picutres and stuff.. See you soon.
You've won a free plane ticket to Hawaii. To claim your prize, we included a redirection 

software for security purposes. Only from FlyHawaii.com
Check out my nude picture gallery.. Sarah.. 
Take a look at this.. 

Robak wysyła jeden z poniższych plików jako załącznik:

C:WindowsHTTPRedirect.htm.bat
C:WindowsSystem32Redirection.exe.bat
C:WindowsCommandPageRedirect.asp.bat
C:Redirect.php.bat
C:WindowsSystemRedirection.bat

Funkcje szkodnika

Robak podstawia również swoje ciało w miejsce wszystkich plików z rozszerzeniem "*.dat" w następującym folderze:

C:progra~1mcafeemcafee~1

Usuwanie szkodnika z zainfekowanego systemu

Jeśli oprogramowanie antywirusowe zainstalowane na twoim komputerze nie jest aktualne lub nie korzystasz z żadnego rozwiązania antywirusowego, w celu usunięcia szkodnika z zainfekowanego systemu wykonaj następujące operacje:

1. Usuń oryginalny plik robaka (lokalizacja będzie zależała od sposobu przeniknięcia programu do zaatakowanego komputera).
2. Usuń wszystkie pliki stworzone przez robaka:

   C:XPxp.bat
   C:Recycledxp.bat
   C:WindowsHTTPRedirect.htm.bat
   C:WindowsSystem32Redirection.exe.bat
   C:WindowsCommandPageRedirect.asp.bat
   C:Redirect.php.bat
   C:WindowsSystemRedirection.bat
   C:WindowsXPUpgrade.bat
   

3. Usuń folder stworzony przez robaka:

   C:XP
   

4. Usuń następującą wartość rejestru systemowego:

   [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
   "PX"="C:XPxp.bat"
   "PXV"="C:Recycledxp.bat"

5. Przywróć z kopii zapasowej pliki usunięte przez robaka:

   C:progra~1mcafeemcafee~1*.dat
   

6. Uaktualnij sygnatury zagrożeń i wykonaj pełne skanowanie komputera (w tym celu można pobrać darmową wersję testową oprogramowania Kaspersky Anti-Virus).

I-Worm.Alcobul.b (Kaspersky Lab), MIRC/Generic (McAfee),   VBS.Rosegun@mm (Symantec),   Bat/Alcobul-B (Sophos),   BAT/Alcobul.B* (RAV),   BAT_ALCOBUL.A (Trend Micro),   Worm/Alcobul.B4 (H+BEDV),   BAT/Alcaul.B@m (FRISK),   VBS:Generic-Mail (ALWIL),   IRC/Generic (Grisoft),   BAT.Alcobul.B (SOFTWIN),   Worm.Alcobul.b (ClamAV),   VBS/Outlook.C.worm (Panda)