VIRUS INFO
Naziv virusa:	I-Worm.Sysid
Alias:
Tip:	worm
Način širenja:	e-mailom
Veličina:	komprimovan oko 200 Kb a raspakovan oko 400 Kb
Destruktivan:	da
Datum aktiviranja:
Otkriven:	12.08.2000.

OBJAŠNJENJE
Ovo je Internet crv koji se širi preko Microsoft Outlooka. Napisan je u programskom jeziku Delphi a zapakovan je sa Aspack PE EXE kompresionim programom.

Stiže kao e-mail:

Subject: predstavlja link ka fajlovima koji se nalaze kao attachment
Telo poruke: prazno
Attachment: uvek stižu 4 fajla koje crv sam odabere sa sledećeg spiska:
pdd2000.exe
Tools.exe
Pcc99.exe
98fix.exe
Book.exe
Phone.exe
Car.exe
Game.exe
Office98fix.exe
Graphics.exe
ScreenSaver.exe
Joke.exe
Window.exe
Mp3Player.exe
WinAmp.exe
Mouse.exe
FTP_Pro.exe
WWW.exe
Ghost7.exe
MazeGame.exe
3DS.exe
Source.exe
Action.exe
Color.exe
Color_Joke.exe
GameStyle.exe
HAHA.exe
MyResume.exe
EasyGame.exe
Jonny.exe
BallGame.exe
MazeGame.exe
MAC9.exe
Desk_Demo.exe
Girl.exe
GirlGame.exe
GoodGame.exe
FreedMan.exe
Hurry Up.exe
Take a Rest.exe
Take Easy.exe
Do not over time.exe
Meeting.exe
Milk.exe
PlayBoy.exe
BadGirl.exe
BadBoy.exe
PenHouse.exe
Tape.exe
Display.exe
Click Me.exe
Apple.exe
New Product Show.exe
My Resume.exe
Boss Game.exe
Boy and Girl.exe
WinZip9.exe
Good Job.exe
New Language.exe
Key User.exe
My Letter.exe
My Sister.exe
My Mother.exe
My Father.exe
My Picture.exe
Merry.exe
Happy.exe
Happy New Year.exe
How Are You.exe
586 Tech.exe
Cell Phone.exe
Sex Picture.exe
The Young King.exe
Oscar.exe
The Happy Prince.exe
The Star Child.exe
Question.exe
Issues For Today.exe
Acknowledgments.exe
Game99.exe
True or False.exe
Good Art.exe
News.exe
Stock News.exe
Music.exe
MP3.exe
Choose Games.exe
Life-Styles.exe
Life-Cycles.exe
Sometimes.exe
Summary.exe
Market.exe
MP3 Tools.exe
Cheat.exe
New Joke.exe
New System.exe
New Job.exe
New Chance.exe
Make More Money.exe
Help Yourself.exe

a svi su isti, bilo koji da stigne.

Kada se jedan od pristiglih fajlova startuje, pojavi se sledeći prozor.

Ovaj Personal ID Generator koristi kineska slova, tako da će samo na Microsoft Windows za kinesko tržište biti ispisano kako treba a za sve ostale Windowse će se videti kao na prethodnoj slici.

Dok korisnik gleda Personal ID Generator, crv počinje sa instalacijom na korisnikovom računaru.
Prvo što radi je detektovanje u kom direktorijumu se nalazi Windows. Ako ne uspe da detektuje, crv kreira fajlove u sledećim direktorijumima:

C:\ WINNT \ SYSTEM32 \ SYSID.EXE
C:\ WINNT \ SYSID.EXE
C:\ WINDOWS \ SYSTEM \ SYSID.EXE
C:\ WINDOWS \ SYSID.EXE
C:\ WINDOWS \ SYSTEM \ WINVER.VBS.

Da bi se startovao svaki put kada korisnik startuje Windows, crv ubaci sledeći ključ u Registry bazu:

HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ WindowsVersion = "sysid".

Ovaj crv koristi metodu skrivanja kako bi zavarao korisnika. Kada se Windows startuje, crv uklanja ključ iz Registry baze, tako da korisnik ne vidi taj ključ u Registry bazi. Sam task crv registruje kao hidden application (service) i postaje nevidljiv za korisnika. Crv je aktivan sve dok korisnik koristi Windows. Kada gasi Windows, crv ponovo ubacuje ključ u Registry bazu, kako bi se ponovo startovao sledeći put.
Ovog crva je malko teže ukloniti iz Registry baze jer se ne vidi u njoj dok je Windows aktivan a prilikom gašenja se pojavljuje ali tada korisnik ne može da pristupi Registry bazi.

Kada crv pokrene fajl WINVER.VBS, crv preuzme kontrolu nad korisnikovim Address Bookom i pošalje se na e-mail adrese koje zatekne. Ako korisnik u svom Address Booku ima manje od 200 e-mail adresa, crv će se poslati samo na 10% od tog broja, a ako je broj e-mail adresa veći od 200 poslaće se na 2% broja e-mail adresa.
Sve e-mailove koje pošalje su identične primljenoj, jedino se razlikuju nazivi attachmenta.

REŠENJE
Obrisati sledeće fajlove:
C:\ WINNT \ SYSTEM32 \ SYSID.EXE
C:\ WINNT \ SYSID.EXE
C:\ WINDOWS \ SYSTEM \ SYSID.EXE
C:\ WINDOWS \ SYSID.EXE
C:\ WINDOWS \ SYSTEM \ WINVER.VBS i tako sprečiti učitavanje virusa.

Treba uvek imati osveženi antivirusni program.