A McAfee víruselemző csoportja (AVERT) a Lovgate vírus egy 78,848 bájt hosszúságú változatát azonosította (C variáns), ezt csak a 4249-es és újabb adatbázisok ismerik fel. A programféreg email-en (van saját SMTP modulja) és hálózati megosztásokon keresztül terjed. Emelett egy trójai programot is telepít a számítógépre (a 10168-as portot nyitja meg a fertőzött számítógépen.)

A programféreg az INBOX (Bejövő üzenetek) minden üzenetére saját SMTP modulja segítségével automatikusan válaszol. A féreg csatolt állományként van az üzenetekben és az alábbi szabályszerűség alapján küldi tovább magát (ennek tudható be, hogy sokkal lassabban terjed, mint a klasszikus "mass-mailer" vírusok - ezt jelzi a vírus nevében a @M jelzés). Ha az Inbox-ban lévő üzenet a ???@wherever.com címről érkezett, akkor a válaszlevél formája:

Wherever.com account auto-reply:

' I'll try to reply as soon as possible.

Take a look at the attachment and send me your opinion!'

>Get your Free wherever.com account now! <

ProgramfĂŠreg komponens

A fĂŠreg kĂŠpes hĂĄlĂłzati megosztĂĄsokon keresztĂźl is terjedni. Megkeresi a hĂĄlĂłzaton megosztott kĂśnyvtĂĄrakat, alkĂśnyvtĂĄrakat ĂŠs az alĂĄbbi ĂĄllomĂĄnynevek valamelyikĂŠn odamĂĄsolja magĂĄt:

fun.exe

images.exe

news_doc.exe

s3msong.exe

pics.exe

billgt.exe

midsong.exe

PsPGame.exe

hamster.exe

setup.exe

tamagotxi.exe

joke.exe

docs.exe

searchurl.exe

card.exe

pics.exe

TrĂłjai komponens

A féreg egy 77,824 byte hosszú trójai programot is telepít a számítógépre az alábbi állománynevek valamelyikén: ILY.DLL, 1.DLL, REG.DLL és TASK.DLL. A trójai program megnyitja a 10468-as portot és figyelmeztető email-t küld a vírus írójának. (Az email-ben a számítógép általános tulajdonságait is elküldi - egyes esetekben jelszavakat is.) A trójai program detektálásához a 4249-es adatbázisok szükségesek.

TĂźnetek:

BejegyzĂŠsek a regisztrĂĄciĂłs adatbĂĄzisban (Registry)

A fent emlĂ­tett ĂĄllomĂĄnyok jelenlĂŠte

Nyitott 10168 port

A fertőzés menete:

A fĂŠreg email-en ĂŠs hĂĄlĂłzati megosztĂĄsokon keresztĂźl terjed. VĂĄlaszlevĂŠlkĂŠnt tovĂĄbbkĂźldi magĂĄt ĂŠs/vagy bemĂĄsolja magĂĄt a megosztott hĂĄlĂłzati kĂśnyvtĂĄrakba.

FuttatĂĄsa utĂĄn bemĂĄsolja magĂĄt a %System% kĂśnyvtĂĄrba:

WinGate.exe

rpcsrv.exe

syshelp.exe

winrpc.exe

WinRpcsrv.exe

A trĂłjai komponens is a %System% kĂśnyvtĂĄrba kerĂźl az alĂĄbbi nĂŠven:

1.dll

reg.dll

ily.dll

task.dll

(MegjegyzĂŠs: a %System% kĂśnyvtĂĄr a Windows operĂĄciĂłs rendszerek rendszerkĂśnyvtĂĄra, amely ĂĄltalĂĄban a C:\Windows\System kĂśnyvtĂĄrat jelenti Windows 9x/ME, C:\WINNT\System32 a Windows NT/2000, ĂŠs a C: \Windows\System32 Windows XP esetĂŠn.)

Az alĂĄbbi kulcsok jĂśnnek lĂŠtre a regisztrĂĄciĂłs adatbĂĄzisban:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "syshelp" = C:\WINDOWS\SYSTEM\syshelp.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "WinGate initialize" = C:\WINDOWS\SYSTEM\WinGate.exe -remoteshell

A trĂłjai komponens szintĂŠn bejegyzĂŠst kĂŠszĂ­t Regsitry-ben:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "Module Call initialize" = RUNDLL32.EXE reg.dll ondll_reg

Az alĂĄbbi kulcs a szĂśveges ĂĄllomĂĄnyok megnyitĂĄsi mĂłdjĂĄt ĂĄllĂ­tja ĂĄt:

HKEY_CLASSES_ROOT\txtfile\shell\open\command

(Default) = "winrpc.exe %1"

A fĂŠreg Windows NT/2000 operĂĄciĂłs rendszeren 'Window Remote Service' nĂŠven szervizkĂŠnt telepĂźl (WINRPCSRV.EXE). A trĂłjai program szintĂŠn szervizkĂŠnt

1. dll_reg

2. 2. Windows Management Extension nĂŠven telepĂźl. A fĂŠreg mĂłdosĂ­tja a WIN.INI ĂĄllomĂĄnyt az alĂĄbbiak szerint:

[windows]

run=rpcsrv.exe

TovĂĄbbi elnevezĂŠsek:

"A" variĂĄns: 77,312 byte

"B" variĂĄns:84,992 byte

"C" variĂĄns:78,848 byte

leĂ­rĂĄs: http://www.piksys.hu/vinfo/lovgate.htm