🚀 go-pugleaf

Za stroną mks-vir:

1 grudnia 2000

Co nowego ? - XRomeo&XJuliet - sposób usunięcia

W dniu wczorajszym pojawiła się nowa wersja popularnego
ostatnio robaka Romeo&Juliet o nazwie XRomeo&XJuliet.
Robak posiada podobną funkcjonalność jak jego
poprzednik.

Zwykle robak pojawia się w komputerze ofiary w postaci
listu elektronicznego w standardzie HTML z załączonymi
plikami xromeo.exe i xjuliet.chm. List ma jeden z kilku
możliwych tematów:


Romeo&Juliet
where is my juliet ?
where is my romeo ?
hi
last wish ???
lol :)
,,...
!!!
newborn
merry christmas!
surprise !
Caution: NEW VIRUS !
scandal !
^_^

Treść listu napisana w HTMLu zawiera odwołania do
identyfikatorów załączonych plików, co wymusza zapisanie
ich na dysku oraz uruchomienie pliku xjuliet.chm dla
samego wyświetlenia podglądu listu w programie Outlook
Express.

Po infekcji proszę nie uruchmiać żadnych plików z
rozszerzeniami:

.doc .xls .exe .avi .bmp .jpg .jpeg .jpe .gif .mpg .mpeg
.mp3 .mp2
.wmf .wma .wmv .vqf .arj .lha .zip .rar .reg.

Kliknięcie na takim pliku powoduje zamianę oryginalnego
pliku na kopię robaka. Oryginalne pliki zostają
skopiowane do katalogu c:recycled pod zmienioną losową
nazwą i rozszerzeniem.

Pliki z załącznika zapisywane są w katalogu
c:\windows\temp, a uruchomiony plik myjuliet.chm
uruchamia program xromeo.exe. Możliwe jest to dzięki
błędowi w obsłudze plików pomocy w standardzie HTML.
Program xromeo.exe

tworzy swoją kopię w katalogu c:\windows\system w pliku
sysrnj.exe, a następnie modyfikowany jest Rejestr
systemu Windows, czego efektem jest zamienianie
wszystkich plików o rozszerzeniach:

.doc .xls .exe .avi .bmp .jpg .jpeg .jpe .gif .mpg .mpeg
.mp3 .mp2
.wmf .wma .wmv .vqf .arj .lha .zip .rar .reg

w momencie uruchomienia ich przez użytkownika na kopie
robaka, o oryginalnej nazwie pliku z dodanym
rozszerzeniem exe - np. moj_dokument.doc zostaje
zamieniony na moj_dokument.doc.exe.
Robak rozsyła się za pomocą poczty elektronicznej
używając do tego następujących serwerów:


Name:    kki.net.pl
Address:  195.117.117.6

Name:    free.ecig.pl
Address:  212.244.197.164

Name:    armagedon.vc.pl
Address:  195.205.96.185

Name:    bbs.chip.pl
Address:  195.116.104.14

Name:    siuks2.ids-man.ids.pl
Address:  195.117.3.111

Name:    assassin.pi.net.pl
Address:  195.116.221.65

Name:    mail.kopex.com.pl
Address:  212.244.67.20

Name:    ym01-vs1.ii.com.pl
Address:  194.181.138.141

Address: 195.205.121.183

Name:    vav.dnd.com.pl
Address:  195.117.88.7

Name:    sv.nitaynet.com
Address:  212.160.95.1
Aliases:  1.95.160.212.in-addr.arpa

Name:    srv0001.softhard.com.pl
Address:  212.244.241.81

Name:    oceanic.wsisiz.edu.pl
Address:  195.205.208.33

Name:    morpheus.pete.gliwice.pl
Address:  212.106.133.133

Name:    olo.sprint.com.pl
Address:  195.116.72.5

Name:    virtual.pnet.pl
Address:  213.25.175.3

Name:    promail.pl
Address:  195.117.99.98

Name:    memo.gate.pl
Address:  213.25.111.2

Usuwanie robaka XRomeo&XJuliet

Wydrukować tę instrukcję.


Nacisnąć jednocześnie klawisze Ctrl+Alt+Del i gdy pojawi
się okienko Menadżera Zadań, zamknąć zadania o nazwie:

Romeo&Juliet
Xromeo

przy pomocy przycisku "Zamknij".


Zainstalować najnowszą wersję oprogramowania mks_vir (z
1 grudnia 2000) po pobraniu jej z naszej strony pod
adresem: http://www.mks.com.pl/pobierz.html


Należy z menu programu do obsługi poczty elektronicznej
Outlook (lub Outlook Express) wybrać:

Widok -> Układ - odhaczyć 'Pokaż okienko podglądu' (ma
być pusty kwadrat [ ])


Skasować w programie pocztowym zarażone listy.


Pobrać plik rejestru usunxrom.reg zapisać na dyskietce i
ochronić ją przed zapisem.


Uruchomić ponownie komputer w trybie MS-DOS (Start >
Zamknij system > Uruchom ponownie w trybie MS-DOS), a
następnie gdy pojawi się znak zachęty, włożyć dyskietkę
przygotowaną w punkcie 6 i następnie wpisać:

regedit a:\usunxrom.reg

Po pomyślnym dodaniu zawartości pliku z dyskietki do
Rejestru należy wyjąć dyskietkę z napędu i ponownie
uruchomić system Windows.


Użwając Skanera mks_vir (zainstalowanego w pkt. 3)
przeskanować dysk twardy komputera, usuwając wszystkie
pliki, w których zostanie wykryty robak XRomeo&XJuliet,
a w szczególności plik:

c:\windows\sysrnj.exe

P