Специалисты компании Sophos перехватили в интернете спамерскую почтовую рассылку якобы от Microsoft, в которой содержится изображение со ссылкой на URL с файлом ie7.0.exe, представляющим собой червя W32/Grum-A.

Письмо приходит с адресом отправителя «admin@microsoft.com» и темой Internet Explorer 7 Download. По словам старшего технического консультанта Sophos Грэма Клули (Graham Cluley), на первый взгляд письмо невозможно отличить от настоящего. Изображение, ведущее на URL с червём, взято с сайта Internet Exporer 7.

Червь представляет собой вирус, дописывающийся к исполняемым файлам, на которые указывает ветка реестра с автозапуском (Software/Microsoft/Windows/CurrentVersion/Run в разделах HKLM и HKCU). При запуске червь копирует себя во временную директорию (папку) под именем winlogon.exe и вносит изменения в реестр. Червь также модифицирует файл hosts, подменяя ip-адреса некоторых сайтов, создаёт поток в system.dll и пытается изменить системные библиотеки ntdll и kernel32.

Это далеко не первый случай, когда хакеры выступают от имени Microsoft, отмечает г-н Клули. В 2003 году червя Gibe-F (Swen) рассылали под видом критического обновления, а в 2005 г. хакеры при помощи троянца устроили перенаправление зараженных систем на подставной сайт обновлений Windows, сообщил ITWire.