Недавно на мыло фирмы пришло письмо с атачем... после первого взгляда стало ясно, что вложение есть ни что иное как слегка замаскированный exe'шник. Я решил посмотреть что он творит. И запустил его в отладчике. Но случайно не поставил breakpoint... короче достиг цели вирусописателя
После некоторой борьбы деятельность уродства была прекращена.
1. Запускаймое тело копирует себя в папку x:\windows и обзывает себя winmgm32.exe размер 65535 т.е. 64кб (exe'шник исполняемый только под win (заголовок MZ))
2. Эта маленькая сволочь выкачивает с адреса 152.163.225.138 остальное тело червя.
3. Размещает его в папке windows\system32\
4. обзывает winmrg.exe (после этот приложение висит и называется MSWin)
5. (убивая процесс winmrg.exe мы прекраўаем его деятельность)
6. Эта втора сволочь в районе 180кб. прописывает себя где в семь месть и запускаетс на уровне системных процессов. (убивая все ссылки в реестре на него мы избавим компьютер от него)
7. ну а вот эту вторую тварь я не разбирал т.к. еще дофига работы... да и надоело заделываться антивирусником.
посмотрите ваши системы нет ли такой фигни... пока что оно творит неизвестно, но уже отправлено в известные антивирусные лаборатории. (но то что эта ерунда ничего хорошего не делает можно не сомневаться)
ко мне оно попало от big@boss.com

P.S. будьте господа внимательне с вложениями в письмах.

Я этого Большого Босса забанил в почте, он мне кучу разных писем прислал и все с вирусами, но я их удалял прямо на сервере.

Mozhet etogo nehoroshego BOSS'a samogo zakidat' kakimi-nibud' trojkami? Che on ljudjam zhizn' portit? I voobsche ne ponimaju ja etih virusopisatelej/-rassylatelej.

закидать вряд ли получится, в поле "От" можно вставить любой адрес...