Hvis man modtager en e-mail, der tilsyneladende stammer fra Microsoft og indeholder en henvisning til en sikkerhedsopdatering til Windows, bør man være meget forsigtig. Kaspersky Lab advarer om, at en ny variant af Internet-ormen I-Worm.Leave maskerer sig som en patch til Windows.
Den falske e-mail linker til filen cvr58-ms.exe, der er en trojansk hest. Når ormen køres - den fungerer kun under Windows 95/98/ME og Windows 2000 - kopierer den sig selv til Windows-folderen under navnet regsv.exe og ændrer i registreringsdatabasen for at sikre, at denne fil køres efter hver genstart.
Leave er en usædvanlig ondsindet orm, der kan opdatere sig selv over internet, og aktivere andre exe-komponenter, hvilket gør det muligt at overtage kontrollen over brugerens computer. Leave kan oprette, ændre og slette filer på computeren og skabe forbindelse til IRC-servere.
Kaspersky Lab fortæller at ormens hovedkomponent indeholder en tekststreng, der fungerer som master-password til SubSeven. Det betyder at ormen kan angribe andre maskiner, der allerede er inficeret med SubSeven, og installere sig selv på dem.
