W32.Blackmal.C@mm là loại bom thư có chức năng hạ thấp các cấu hình bảo mật trên hệ thống máy tính lây nhiễm bằng cách xoá các file liên qua tới ứng dụng bảo mật. Sâu tự gửi bản copy tới tất cả các địa chỉ e-mail tìm thấy trong sổ địa chỉ của Outlook, Yahoo Messenger, và Yahoo Pager. 

Hệ điều hành lây nhiễm:

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP

Mô tả:

Khi thực thi, W32.Blackmal.C@mm sẽ thực hiện các tác vụ sau:

1. Mở ứng dụng Windows Media Player.

2. Tạo ra các bản copy của sâu:
    

   • %System%Connection.exe

   • %System%Task.exe

   • %System%hhm.exe

   • winntvolumewinhelp.exe

   • winntvolume wunk_32.exe

   • %System%sound_223.mp3

   • %System%movie_05.MP3

   • %System%PaltlkRoom.wav

   • %System%\%System%Video_live.mpg

3. Thả các file sau vào thư mục hệ thống:
    

   • %System%About_Blackworm.C.txt

   • %System%ossmtp.dll
     
     Chú ý: %System% là một biến chỉ vị trí của thư mục hệ thống, theo mặc định là: C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000), hoặc C:WindowsSystem32 (Windows XP).
      

4. Thêm một trong số các giá trị sau:
   
   "(default)" = "C:winntvolume[twunk_32.exe]"
   "(default)" = "C:winntvolume[winhelp.exe]"
   
   vào khoá registry để sâu có thể tự động chạy khi hệ thống khởi động:
   
   HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
   CurrentVersionRun

5. Bổ sung giá trị:
   
   "NoBetaMessage"="1"
   
   ... vào khoá registry: 
   
   HKEY_CURRENT_USERSoftwareNico Mak ComputingWinZipcaution

6. Thêm các giá trị:
   
   Name = "BlackWorm"
   SN = "2AD00ED6"
   
   ... vào khoá registry: 
   
   HKEY_CURRENT_USERSoftwareNico Mak ComputingWinZipWinIni

7. Xoá các giá trị registry sau:
    

   • _Hazafibb

   • au.exe

   • ccApp

   • defwatch

   • Explorer

   • erthgdr

   • gigabit.exe

   • JavaVM

   • KasperskyAv

   • key

   • MCUpdateExe

   • MCAgentExe

   • McRegWiz

   • McVsRte

   • McAfeeVirusScanService

   • msgsvr32

   • NPROTECT

   • NAV Agent

   • Norton Antivirus AV

   • OLE

   • PCClient.exe

   • PCCIOMON.exe

   • pccguide.exe

   • PccPfw

   • PCCClient.exe

   • rtvscn95

   • reg_key

   • ScriptBlocking

   • SSDPSRV

   • system.

   • Sentry

   • ssate.exe

   • Services

   • tmproxy

   • Taskmon

   • Traybar

   • Task

   • VirusScan Online

   • VSOCheckTask

   • vptray

   • Windows Services Host

   • winupd.exe

   • Windows Update

   • win_upd.exe

   • winupdt

   • wersds.exe
     
     ... từ các khoá registry:
      

   • HKEY_CURRENT_USERSoftwareMicrosoftWindows
     CurrentVersionRun

   • HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
     CurrentVersionRun

   • HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
     CurrentVersionRunServices

8. Xoá các file sau:
    

   • C:Program FilesNorton AntiVirus*.exe

   • C:Program FilesMcAfeeMcAfee VirusScanVso*.*

   • C:Program FilesMcAfeeMcAfee VirusScanVso

   • C:Program FilesMcAfeeMcAfee VirusScanVs

   • C:Program FilesTrend MicroPC-cillin 2002*.exe

   • C:Program FilesTrend MicroPC-cillin 2003*.exe

   • C:Program FilesTrend MicroInternet Security*.exe

   • C:Program FilesNavNT*.exe

   • C:Program FilesHyperTechnologiesDeep Freeze*.exe

Hướng dẫn loại bỏ W32.Blackmal.C@mm (Symantec)

1. Vô hiệu hoá chức năng System Restore (Windows Me/XP).

2. Nâng cấp phần mềm diệt virus.

3. Chạy phần mềm diệt virus ở chế độ quét toàn hệ thống (Full scan) và xoá tất cả các file có tên W32.Blackmal.C@mm.

4. Xoá giá trị có liên quan tới sâu trong registry