Virusen fra igår.

sender sig selv ud med en mail til alle som du har i dit adressekartotek

http://www.comon.dk/20/view.asp?ID=7681

Den ændre noget på din computer og sender sig videre til alle i dit adresssekartotek. den påstår at den har et pænt billede til dig af hende den 18årige tenninspiller filen hedder:
hendesnavn.jpg.vbs

Du kan finde en masse info her: http://www.virus112.com/index.php?page=artikel&artid=152

http://www.comon.dk/20/view.asp?ID=7667

De har hvis fået ham:
http://nyhederne.tv2.dk/index.php3?id=7373

\"Ny VBS orm spreder sig med stor fart

Navn: VBS.Onthefly.worm
Alias: I-Worm.Lee.o, VBS/VBSWG.J@MM, SST, VBS_Kalamar.
Størrelse: 2 KB
Oprindelse: Holland/Belgien
Forfatter: \"On the fly\"

Flere danske kunder har her til morgen rapporteret om modtagelse af VBS.Onthefly.worm. Vi vurderer den til at være \"widespread\" med risiko for yderligere spredning. Det anbefales, at blokke samtlige filer med endelsen \"jpg.vbs\".

Ormen tog rigtigt fat i går og på ganske få timer i perioden mellem kl. 20.00 til 24.00 dansk tid spredte VBS.Onthefly.worm sig som en steppebrand. Flere kilder, herunder bl.a. SecurityFocus.com beskriver ormen med følgende sætning: \"It´s spreading like wildfire, much like LoveLetter did in 2000. This could be one of the biggest outbreaks of the year!\"

Analyse:
VBS.Onthefly.worm, er en internet orm skrevet i Visual Basic. Ormen er signeret af On the Fly - her af navnet.

Ormen ankommer via email med følgende indhold:

Emne: Here you have, ;o)
Indhold: Hi: Check This!
Vedhæftet: ANNAKOURNIKOVA.JPG.VBS

Indholdet på emailen vil kunne ændre sig og vi anbefaler, at man snarest/hurtigst opdaterer sit AV-program således, at dette er i stand til at fange den nye orm ved ankomst. Ormen anvender Windows Scripting Host. Den kan ikke spredes hvis det er afinstalleret. WSH installeres sammen med bl.a. IE5.

Ormen er skrevet i Visual Basic, men er krypteret med VBS-Encrypter skrevet af Kalamar som bliver spredt fra et website under Virii Argentina. Ormen er udviklet i VBSWG virus construction kit, som Virus112 op til flere gange har advaret imod. VBS.Onthefly.worm indeholder teksten (Worm made with Vbswg 1.50b). Dette er en ormegenerator, hvor det er muligt, at generere orme, som i stil med Loveletter massmailer sig til samtlige fortegnelser i Outlooks adressekartotek. Virus112 advarede mod netop denne virusgenerator tilbage i august 2000. Se: http://www.computerworld.dk/Vis_artikel.asp?ArticleID=7608.

VBS.Onthefly.worm er bl.a. blevet postet adskillige steder på usenet. Den 26. Januar vil den forsøge, at etablere kontakt til http://www.dynabyte.nl, som er en online computer forretning i Holland.

Når ormen dobbeltklikkes vil den droppe filen AnnaKournikova.jpg.vbs i windows mappen. Den vil dernæst lave en mindre ændring i registreringsdatabasen: HKCUSoftwareOnTheFly. Dette for at sikre at den ikke videresender sig flere gange.

Virus112 har et patch parat som kan hentes i kundedatabasen. Patchet forhindrer ormen i at sprede sig ved at modificere registreringsdatabasen således, at onthefly/mail nøglen sættes til 1. Ormen kan ikke igangsætte sin massmailing rutine under denne værdi og bremses derfor.

Peter Kruse
Virusanalyst
Virus112 A/S \"

Som vores sysadm skrev i morges:

For lige at afværge diverse frygt osv. vil jeg lige informere om at denne virus er en man har kendt i over 1 år og som vi i de sidste 12 måneder har været beskyttet imod i form af de versioner af McAfee antivirus som vi benytter.

Derfor er der ingen grund til alarm.

http://www.computerworld.dk/vis_artikel.asp?ArticleID=9666

hojben>> Den er IKKE et år gammel. Den er ret ny, men det værktøj der er blevet brugt til at lave den er et års tid gammelt. Der er en ret stor forskel!

Kan man lave en regl i OutLook der automatisk enten farver titlen RØD eller sletter mailen hvis den har endelsen \"jpg.vbs\"?

Tak for svarene.

tommyf>> Nej, men du kan farve den rød hvis den indeholder en attachment

Fcs<--> Okay, der står på ComputerWorld side at hvis man har afinstalleret \"Windows Scripting Host\" sker der intet (det var det I opfordrede mig til i forige virusspørgsmål).

Jeps, har du brug for en opskrift?

Nej har gjort det. Ellers tak :o)

Hvis der er andre, så sig til!

http://www.eksperten.dk/spm/49630