A fertőzés jelei
A vírus jelenléte egy adott számítógépen akár kézi úton is kideríthető, a következő módok egyikén:
1. Nézze meg az aktív alkalmazások listáját az ALT és a TAB billentyűk lenyomásával. A féreg alkalmazásának neve "MYPICS".
2. Vizsgálja meg a rendszerleíró adatbázist. A féreg Windows 9x-en a HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run, Windows NT-n pedig a HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows\Run alatt "C:\Pics4You.exe" értékű kulcsokat hoz létre.
3. Ellenőrizze az Internet Explorer kiindulási lapját. A féreg ezt a http://www.geocities.com/SiliconValley/Vista/8279/index.html weblapra állítja át.
Telepítés
A vírus e-mailhez kapcsolt PICS4YOU.EXE nevű állományként érkezik. Az üzenetnek üres a tárgymezője, és a következő szöveget tartalmazza:
Here's some pictures for you! (Íme néhány kép neked!)
A csatolt állomány végrehajtásakor a féreg átveszi az irányítást, és "MYPICS" nevű aktív alkalmazásként a memóriában marad. Ezek után elindítja a telepítőrutinját, és regisztrálja magát a Windows rendszerleíró adatbázisában.
Terjedés
A telepítőrutin befejeződésekor a féreg hozzálát saját másolatainak szétküldéséhez az interneten. Ez a rész megegyezik a márciusban felfedezett Melissa vírus terjedési módjával. Az I-Worm.MyPics megnyitja az MS Outlook levelező adatbázisát, és az innen kiolvasott legfeljebb 50 címre csendben elküldi magát. A féreg ezt a lépést egy gépen csak egyszer teszi meg. Ennek ellenőrzéséhez a rendszerleíró adatbázis HKEY_CURRENT_USER\Software\Microsoft\Office bejegyzése alatt hoz létre egy kulcsot, amit minden indulásakor ellenőriz.
Töltet
A féreg rendkívül veszélyes töltettel rendelkezik. Amennyiben a gépóra dátuma a 2000. évben van, felülírja a C:\AUTOEXEC.BAT állományt két paranccsal, amelyek megformázzák a C: és a D: meghajtókat. Ezen kívül létrehoz és lefuttat egy C:\CBIOS.COM nevű állományt, ami átírja a CMOS memóriát (törli a CMOS CRC mezőt). A vírus különösen kártékony tulajdonsága lehet az, hogy az időzítése miatt valószínűleg több felhasználó a 2000. évvel kapcsolatos problémára fog gyanakodni az aktivizálódásakor.
Megelőzés és eltávolítás
Amennyiben ön PICS4YOU.EXE nevű állományt kap e-mailben, semmiképpen se nyissa meg; egyszerűen törölje. Ne felejtse, hogy még megbízható forrásból érkező üzenetek is tartalmazhatják a férget, hiszen az a felhasználó tudta nélkül terjed. A vírus felismeréséhez és eltávolításához szükséges adatbázis-frissítés megtalálható a 2F 2000 Kft. weblapján, a http://www.2f.hu/files/avp/32bit/UP991205.zip címen.