Cert-Fi varoittaa uudesta madosta, joka levittää itseään joulutervehdyksenä pääosin sähköpostin välityksellä. Zafi.D on aloittanut leviämisensä tiistaina 14. joulukuuta. Madolle haavoittuvia ovat Windows-järjestelmät.
Osa madon lähettämistä sähköposteista sisältää suomenkielistä tekstiä. Zafi.D leviää myös muille kielillä kirjoitettuna.
Madon sisältävä viesti suomeksi sisältää seuraavat tiedot:
Lähettäjä: M. VirtanenSubject: Christmas postikorti!Iloista Joulua!:) [vastaanottaja]
Madon sisältävissä viesteissä on myös pieni .gif -muotoon pakattu kuvatiedosto.
Muuttaa Windowsin rekisteriä
Mato leviää sähköpostin liitetiedostona pakattuna .pif, .cmd, .bat, .com tai .zip -formaattiin. Liitetiedoston nimet ja niissä käytettävät sanojen järjestykset vaihtelevat. Sähköpostin liitetiedostoa avattaessa mato saattaa esittää tietojärjestelmän käyttäjälle hämäystarkoituksessa seuraavan virheilmoituksen: "Error in packed file"
Aktivoiduttuaan Zafi.D kopioi itsensä Windows System -hakemistoon mielivaltaisella .DLL -nimellä ja/tai nimellä "Norton Update.exe". Mato lisää kohdejärjestelmän rekisteriasetuksiin käyttämänsä .exe -tiedoston nimen seuraavaan rekisterin kohtaan:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Mato luo Windows System -hakemistoon myös useita muita tiedostoja vaihtelevilla nimillä ja .dll -laajennuksilla. Mato säilyttää omaa ohjelmakoodiaan luomissaan hakemistoissa.
Iskee musiikkikansioihin
Mato käy läpi kohdejärjestelmän hakemistoja ja kopioi itsensä seuraavilla nimillä niihin hakemistoihin, joiden nimistä löytyvät sanat "share", "upload" tai "music":
winamp 5.7 new! sekä ICQ 2005a new!.exe
Mato etsii sähköpostiosoitteita Windowsin osoitekirjasta sekä muista tiedostoista. Mato sisältää oman sähköpostin lähetykseen tarkoitetun komponentin sekä se kykenee lähettämään itsensä myös eri avointen sähköpostipalvelinten kautta.
Jyrää palomuuriohjelmat
Zafi.D sulkee kohdejärjestelmästä kaikki ne sovellukset, joiden nimet liittyvät palomuuriin tai virustorjuntaan. Tämän jälkeen mato ylikirjoittaa nämä palomuuriin tai virustorjuntaan liittyvien sovelluksien nimet (firewall, virus).
Mato estää useiden Windows-käyttöjärjestelmän ohjelmistojen käytön ollessaan aktiivinen. Tällaisia ohjelmistoja ovat mm. Task Manager (tehtävienhallinta) sekä Registry Editor (rekisterieditori).
Mato sisältää takaporttin, joka kuuntelee saastuneen tietojärjestelmän tcp-porttia 8181. Mato voi ladata tiedostoja ja suorittaa niitä takaportin avulla saastuneessa tietojärjestelmässä.
Huolellisuutta liitetiedostojen kanssa!
Cert-Fi suosittelee ajantasaisen virustorjuntaohjelmiston käyttämistä. Liitetiedostoja ei pidä avata ennen virustarkastusta, ja Zafi.D:n sisältävät sähköpostiviestit on tuhottava välittömästi.