Újabb I-Worm.Hybris variáns bukkant fel, amiben javításra került az eredeti vírus néhány hibája. A vírus a felhasználóhoz email csatolt fileként érkezik, és Win32-es rendszerek alatt fut.
A vírus polymorph és un. plugineket tartalmaz. Elnditása után megfertõzi a WSOCK32.DLL-t, ha elsõre nem sikerül neki akkor úgy módositja a WININIT.INI filet, hogy legközelebbi indításkor már sikerüljön, ha ez sem mûködik, akkor a registry-ben a HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\RunOnce vagy a HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\RunOnce bejegyzéseket módositja, hogy biztosan meg tudja fertözni a DLL-t. Ehhez készít egy véletlenszerüen elnevezett másolatot a WSOCK32.dll-rõl ami már fertõzött (ezt nevezteti át a WININIT.INI-ben levõ sorral), illetve önmagát is véletlenszerüen elnevezve másolja a system könyvtárba (ezt pedig a registrybe jegyzi be). WSOCK32.DLL-en belül a send(), recv(), connect() API-kat fertõzi meg illetve módositja a DLLentry rutinját amit a DLL betöltésekor futtat le. Elkódolja az eredeti entry rutint, majd az új entry fogja kikódolni. A rutinok segítségével felügyeli az elküldött/érkezett leveleket és a címzettek részére elküldi önmagát...
A vírus több pluginnel rendelkezik, ezek egy RSA szerû algoritmussal vannak elkódolva (128 bites kulccsal). A pluginjeit az alt.comp.virus hírcsoportról szedi le, ahol szintén elkódolva található. Tehát a vírus funkcio- nalitása nagyrészt a pluginjeitõl függ, ami bármikor megváltozhat. A vírus 70 különbözõ hírszerver bármelyikérõl képes leszedni a pluginjeit. A plugineket a system könyvtárban is eltárolja szintén véletlenszerû neveken. Néhány ismert plugin funkciója: ZIP és RAR fileokat fertõzõ plugin (a csomagolt fileban található EXE fileokat átnevezi .EX$-ra és önmaga másolata lesz az .EXE). Fertõzött leveleket alt.comp.virus csoportra küldõ plugin. SubSeven backdoor programmal együttmûködõ plugin. Segítségével az ezt használó gépre feltölti önmagát és lefuttatja önmagát.
A fertõzött levél tárgya üzenete és csatolt filejának neve véletlenszerûen választott:
From: Hahaha
Subject lehet:
1. Snowhite and the Seven Dwarfs - The REAL story!
2. Branca de Neve porn"!
3. Enanito si, pero con que pedazo!
4. Les 7 coquir nains
Message lehet:
1.
C'etait un jour avant son dix huitieme anniversaire. Les 7 nains, qui
avaient
aid' 'blanche neige' toutes ces ann'es aprSs qu'elle se soit enfuit de chez
sa belle mSre, lui avaient promis une *grosse* surprise. A 5 heures comme
toujours, ils sont rentr's du travail. Mais cette fois ils avaient un air
coquin...
2.
Today, Snowhite was turning 18. The 7 Dwarfs always where very educated and
polite with Snowhite. When they go out work at mornign, they promissed a
*huge* surprise. Snowhite was anxious. Suddlently, the door open, and the
Seven
Dwarfs enter...
3.
Faltaba apenas un dia para su aniversario de de 18 a¤os. Blanca de Nieve
fuera
siempre muy bien cuidada por los enanitos. Ellos le prometieron una *grande*
sorpresa para su fiesta de complea¤os. Al entardecer, llegaron. Tenian un
brillo
incomun en los ojos...
4.
Faltava apenas um dia para o seu aniversario de 18 anos. Branca de Neve
estava
muito feliz e ansiosa, porque os 7 anoes prometeram uma *grande* surpresa.
As cinco horas, os anoezinhos voltaram do trabalho. Mas algo nao estava
bem... Os sete anoezinhos tinham um estranho brilho no olhar...
Csatolt file nevek:
enano.exe
enano porno.exe
blanca de nieve.scr
enanito fisgon.exe
sexy virgin.scr
joke.exe
midgets.scr
dwarf4you.exe
blancheneige.exe
sexynain.scr
blanche.scr
nains.exe
branca de neve.scr
atchim.exe
dunga.scr
anao porn".scr
Ezek a pluginektõl függõen mások is lehetnek...
| 
Nem
Alacsony
