这个情人节病毒出自病毒VBS/San作者之手,因为该病毒能够将IE的起始页设置为一个西班牙站点,这一点很像VBS/San。
此病毒将自身隐藏在一个HTML文件中,利用了Vbscript.Encode方式对自身代码进行加密,并利用了一个叫"Scriptlet.TypeLib"的漏洞。
当病毒代码被执行时,它将自身拷贝到c:WINDOWSStart MenuProgramsStartup
loveday14-b.hta,如果当前Windows的版本为西班牙版本,则病毒将自身拷贝到相应的c:WINDOWSMen?InicioProgramasInicioloveday14-b.hta下,同时在WindowsSystem目录下
创建文件main.html。
当系统重新启动后,loveday14-b.hta将被执行并显示包含下面内容的消息框,标题为
MSDOS.EXE:
病毒将自身发送给Outlook地址簿中的所有地址,邮件的主题行为空,并且该邮件不带附件,邮件主体是HTML格式的文件其中隐藏着病毒代码。
该病毒还企图向一些随机手机发送邮件信息,这些手机地址属于一家西班牙电信提供商。
邮件内容如下:
主题: "Feliz san valentin"
消息主体: "Feliz san valentin. Por favor visita" (followed by a link to a Spanish
website, infected by the virus author.)
该病毒还试图以"main.html"的形式通过mIRC发送自己。
如果当前日期为8,14,23,或29,病毒将用西班牙语的文本覆盖用户C盘上的所有文件,被覆盖的文件在保持原有文件名的基础上添加了一个.TXT扩展名。(例如原C盘下的command.com文件将变为comand.com.txt)。
这些被覆盖的文件中包含下面的文本:
Hola, me llamo Onel2 y voy a utilizar tus archivos para declararle mi amor
a Davinia, la chica mas guapa del mundo.
Feliz san Valentin Davinia. Eres la mas bonita y la mas simpatica.
Todos los dias a todas horas pienso en ti y cada segundo que no te veo
es un infierno.
Quieres salir conmigo?
En cuanto a ti usuario, debo decirte que tus ficheros
no han sido contaminados por un virus,
sino sacralizados por el amor que siento por Davinia.
一些隐藏部分的代码如下:
"Que cosa mas tonta".
"loveday14 by Onel2 Melilla, Espa馻"
"feliz san valentin davinia""