Virus Aliz

Efectos:

Aliz no tiene efectos destructivos. Su objetivo es la infección de otros ordenadores.

Metodo de infección:

Aliz no copia ningún fichero en el ordenador infectado, ni modifica o introduce entradas en el Registro de Windows.

Todo el proceso de infección se realiza con el fichero WHATEVER.EXE, que está incluido en el mensaje de correo que originó la infección.

Metodo de propagación:

Aliz utiliza principalmente el correo electrónico para propagarse. Su patrón de actuación es:

• Llega oculto en un mensaje con las siguientes características:
  
  Asunto: es un texto variable que resulta de una combinación de palabras escogidas al azar. Para construir el título del mensaje, el gusano toma un elemento de cada uno de los siguientes grupos de palabras:
  
  Fw:, Fw: Re:
  
  Cool,Nice, Hot, Some, Funny, Weird, Funky, Great, Interesting, Many.
  
  Website, Site, Pics, Urls, Pictures, Stuff, mp3s, shit, music, info to check, for you, i found, to see, here , - check it
  
  !!, !, :-) ?!, hehe ,;-)
  
  De este modo, algunos posibles asuntos son:
  
  Fw: Re:Cool stuff for you!
  
  FW: Funny website here ;-)
  
  Contenido:
  
  Peace
  
  Fichero adjunto
  
  WHATEVER.EXE
• WHATEVER.EXE es un fichero codificado en formato MIME, pero que simula ser de tipo audio/x-wav.
• El gusano se activa al abrir el mensaje que lo contiene o al visualizarlo mediante la Vista previa de Outlook. Para ello, utiliza una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5).
• A continuación, busca la Libreta de direcciones y se conecta al servidor SMTP para enviarse automáticamente a todos los contactos localizados.

Otros detalles:

Para que conozca un poco más a Aliz, aquí le reseñamos sus principales curiosidades:

• Aliz es un gusano comprimido   y escrito en lenguaje Ensamblador.
• El código de Aliz contiene el siguiente texto cifrado:
  
  :::iworm.alizee.by.mar00n!ikx2oo1:::
  
  while typing this text i realize this text got added on many av
  description sites, because this silly worm could be easily a
  hype. i wonder which av claims '[companyname] stopped high risk
  worm before it could escape!' or shit like that. heh, or they
  boycot my virus because of this text. well, it is easy enough
  for the poor av's to add this worm; since it was only released
  as source in coderz#2... btw, loveletter*2 power in pure win32asm
  and only a 4k exe file. heh, vbs kiddies, phear win32asm. :)
  thx to: bumblebee!29a, asmodeus!ikx. greets to: starzer0!ikx,
  t-2000!ir, ultras!mtx & sweet gigabyte...
  btw,burgemeester van sneek: ik zoek nog een baantje...