Robak ten rozprzestrzenia się za pośrednictwem Internetu jako załącznik do zainfekowanych wiadomości. Zainfekowane wiadomości zostaną wysłane na wszystkie adresy e-mail zebrane z zaatakowanej maszyny. Rozmiar szkodnika to 1 310 bajtów. Powstał w języku programowania Visual Basic Script (VBS).

Instalacja

Podczas uruchamiania robak tworzy własną kopię w folderze głównym systemu Windows:

%WinDir%Troyan.vbs

W celu zapewnienia sobie automatycznego uruchomienia się wraz z każdym startem systemu robak rejestruje swój plik wykonywalny w rejestrze systemowym:

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices]
"E-Mail" = "%WinDir%Troyan.vbs"

Funkcje szkodnika

Robak wysyła siebie do wszystkich kontaktów w książce adresowej.

Wysyła również powiadomienie do zdalnego szkodliwego użytkownika o zainfekowaniu maszyny. Do wiadomości dołączany jest przechwycony plik pwl. Plik ten zawiera hasła użytkownika.

Rozprzestrzenianie - poczta elektroniczna

Robak przechwytuje adresy email z książki adresowej programu MS Outlook. Następnie cyklicznie wysyła swoje ciało na wszystkie przechwycone adresy.

Zainfekowane wiadomości

Przykład zainfekowanych wiadomości:

Temat wiadomości:

Prinosim izveneniya…

Treść wiadomości:

Prinosim izvineniya za lichnoye bespokoistvo. Prosim vas vyislat' Vash login i 
parol' (zhelatel'no bez lishnikh simvolov) na adres: support@inbox.ru dlya povtornoi 
identifikatsii. Zaranee spasibo…"

Robak wysyła swoje ciało w załączonym do wiadomości pliku.

Przykład wiadomości wysłanej zdalnemu szkodliwemu użytkownikowi (*****Snake@inbox.ru):

Temat wiadomości:

Lam grokhnut!!!

Treść wiadomości:

Vot fail s parolyami 

Nazwa załącznika (wybierana z poniższych możliwości):

,pwl

Usuwanie szkodnika z zainfekowanego systemu

Jeśli oprogramowanie antywirusowe zainstalowane na twoim komputerze nie jest aktualne lub nie korzystasz z żadnego rozwiązania antywirusowego, w celu usunięcia szkodnika z zainfekowanego systemu wykonaj następujące operacje:

1. Usuń oryginalny plik robaka (lokalizacja będzie zależała od sposobu przeniknięcia programu do zaatakowanego komputera).
2. Usuń następujący klucz rejestru systemowego:

   [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices]
   "E-Mail" = "%WinDir%Troyan.vbs"

3. Usuń plik stworzony przez robaka:

   %WinDir%Troyan.vbs
   

4. Uaktualnij sygnatury zagrożeń i wykonaj pełne skanowanie komputera (w tym celu można pobrać darmową wersję testową oprogramowania Kaspersky Anti-Virus).