VIRUS INFO
Naziv virusa:	Worm.Kazaa.Benjamin
Alias:	BackDoor-AEG, TROJ_FILLHDD.A, Trojan.Filler, W32.Benjamin.Worm, W32/ Kazoa, Win32.Worm.Benjamin.A, Win32/Benjamin.worm, Win32/ Kazaa.Benjamin worm
Tip:	worm
Način širenja:	preko KaZaa mreže
Veličina:	oko 216 kB
Destruktivan:	ne
Datum aktiviranja:	startovanjem downloadovanog fajla preko KaZaa mreže
Otkriven:	16.05.2002.

OBJAŠNJENJE
Virus je napisan u programskom jeziku Borland Delphi a kôd virusa je kompimovan sa AsPack.
Virus se širi preko mreže Kazaa (mreža koja koristi Peer-to-Peer (P2P) tehnologiju). Slučajnim izborom virus će zaraziti neki fajl koji korisnik želi da skine. Po standardnom podešavanju fajlovi se downloaduju u direktorijum C:\WINDOWS\TEMP\SYS32. Najčešće se virus, trenutno, može naći sledećim fajlovima:

Age of Empires 2 Gold +Strat.Comm.-Games-full-downloader
American Pie 2-divx-full-downloader
Baldur's Gate 2-Games-full-downloader
Black & White-Games-full-downloader
Blade (uncut) -divx-full-downloader
Blue Submarine No. 6 (1998) -divx-full-downloader
Buffy the Vampire Slayer-installer
CDRWin 5.0 -full-downloader
Chessmaster 8000-spiel-full-downloader
Black & White -full-downloader
macy gray - I Stumble
metallica - stairway to heaven
acdc - money talks
Fatboy Slim - Star 69
Marilyn Manson - 13 Born again
Deepest Purple-The Very Best of Deep Purple - Space Truckin
Windows XP Home edition (eng) -full-downloader
South Park Vol.1-divx-full-downloader
Quake - Games -full-downloader
Nascar Racing 3-Games-full-downloader
FIFA Soccer 2002-installer
robbie williams - millenium
Johann_Sebastian_Bach-Brandenburg_Concerto_No

Osim ovih fajlova, virus zarazi i fajlove sa ekstenzijama EXE i SCR.
Kada se downloadovani fajl startuje, Windows će prijaviti grešku.

Kada korisnik pritisne dugme OK, virus će krirati fajl
C:\WINDOWS\SYSTEM\EXPLORER.SCR

a zatim će kreirati sledeće ključeve u Registry bazi:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "System-Service"="C:\\WINDOWS\\SYSTEM\\EXPLORER.SCR"

HKEY_LOCAL_MACHINE\Software\Microsoft "syscod"="0065D7DB20008306B6A1"

Na ovaj način virus će se startovati svaki put kada se i Windows startuje.

Propratni efekat, koji se pojavljuje kada korisnik surfuje je iznenadno otvaranje sajta BENJAMIN.XWW.DE kako bi korisnik video neke reklame (sajt je već uklonjen).

REŠENJE
Dok ne osvežite antivirusni program preuzmite Benjamin Removal Tool.