Robak ten rozprzestrzenia się poprzez tworzenie swoich kopii na dyskach lokalnych oraz zasobach sieciowych z dostępem umożliwiającym zapis. Robak ten jest skryptem JavaScript (plik HTML). Ma rozmiar 4 612 bajtów.

Funkcje szkodnika

Kod robaka zostanie aktywowany, gdy użytkownik będzie przeglądał zainfekowaną stronę HTML przy użyciu przeglądarki pozwalającej na uruchomienie aktywnej zawartości.

W celu zainfekowania maszyny, robak wykona następujące czynności:

Przeszuka poniższe foldery w celu znalezienia niezainfekowanych plików HTML (czyste pliki nie będą posiadały na początku ciągu ):

%WinDir%
%System%
%Temp%

Następnie robak zapisuje swoje ciało na początek wszystkich znalezionych plików.

Szkodnik szuka następujących folderów sieci P2P:

C:Program FilesKMDMy Shared Folder
C:Program FilesKaZaAMy Shared Folder
C:Program FilesKaZaA LiteMy Shared Folder
C:Program FilesMorpheusMy Shared Folder
C:Program FilesGroksterMy Grokster
C:Program FilesBearShareShared
C:Program FilesEdonkey2000Incoming
C:ProgrammeKMDMy Shared Folder
C:ProgrammeKaZaAMy Shared Folder
C:ProgrammeKaZaA LiteMy Shared Folder

Trojan kopiuje swoje ciało do tych folderów jako "%Template%.jpg.html" (%Template% jest losowo wybraną kombinacją poniższych słów):

Hot
Teen
Sexy
Fuckin
Wet
Super
Black
XXX
Dildo
Asian
Pussy
Lesbian
SexParty
Bitches
Ass

Wraz z każdym uruchomieniem robak skopiuje się pięć razy.

Usuwanie szkodnika z zainfekowanego systemu

Jeśli oprogramowanie antywirusowe zainstalowane na twoim komputerze nie jest aktualne lub nie korzystasz z żadnego rozwiązania antywirusowego, w celu usunięcia szkodnika z zainfekowanego systemu wykonaj następujące operacje:

1. Przy użyciu edytora tekstowego (np. Notepad) sprawdź wszystkie pliki o rozszerzeniu *.HTML w poniższych folderach w celu znalezienia ciągu na początku pliku:

   %WinDir%
   %System%
   %Temp% 
   

2. Jeżeli takie pliki będą obecne na zaatakowanej maszynie, zastąp je niezainfekowanymi kopiami z kopii zapasowej.
3. Usuń następujące pliki (jeżeli są obecne):

   C:Program FilesKMDMy Shared Folder
   C:Program FilesKaZaAMy Shared Folder
   C:Program FilesKaZaA LiteMy Shared Folder
   C:Program FilesMorpheusMy Shared Folder
   C:Program FilesGroksterMy Grokster
   C:Program FilesBearShareShared
   C:Program FilesEdonkey2000Incoming
   C:ProgrammeKMDMy Shared Folder
   C:ProgrammeKaZaAMy Shared Folder
   C:ProgrammeKaZaA LiteMy Shared Folder
   

4. Uaktualnij sygnatury zagrożeń i wykonaj pełne skanowanie komputera (w tym celu można pobrać darmową wersję testową oprogramowania Kaspersky Anti-Virus).

JS/Elmar!p2p (McAfee),   VBS.Nodia (Symantec),   JS/Elman.A* (RAV),   JS_ELMAR.A (Trend Micro),   HTML/Elmake (H+BEDV),   JS/Elman.A (FRISK),   VBS:Malware (ALWIL),   JS/Elmar.A (Grisoft),   Worm.Elman (SOFTWIN),   JS.Elmar (ClamAV),   JS/Elmar.A (Panda)