www.back2africa.com

Este archivo no es una dirección de Internet, sino un programa .COM de MS-DOS.

Dentro del código del archivo .COM y del .EXE (PE) creado por el primero al ser ejecutado, existe el siguiente comentario, el cuál no es mostrado en ningún momento:

Haile Selassie is Jesus Christ!

El archivo .EXE, contiene además el siguiente mensaje:

(tehporp sih si anceV dnA)

Que escrito al revés (como en un espejo) sería:

(And Vecna is his prophet)

Esta es una referencia al escritor de virus Vecna, creador de otros gusanos como el W95/Babylonia, etc.

Los síntomas de la presencia de este gusano, son la aparición de un archivo de firmas llamado RASTAMAN.TXT en el Eudora. Esta nueva firma, contiene el archivo .COM original, en formato UUENCODE.

La infección ocurre cuando el archivo .COM es ejecutado (doble clic). El nombre del archivo similar a una dirección Web, engaña fácilmente al usuario, que lo ejecuta pensando se trata de un link a una página.

Este archivo de DOS, primero chequea si se está ejecutando en un entorno de Windows 9x. Si es así, intenta extraer un ejecutable en formato PE (.EXE), agregado a su código. Lo guarda en el directorio TEMP con un nombre al azar. Luego, lo intentará ejecutar con el comando START.EXE de Windows.

El archivo .EXE examina el sistema en busca del programa Eudora, y si lo está, agrega un archivo de firmas al mismo, con el nombre RASTAMAN.TXT. Como vimos, esta nueva firma contiene el archivo .COM original en formato UUENCODE. La idea está basada en el virus JS/Kak, solo que en lugar de usar el Outlook, este virus utiliza el Eudora.

Fuente: McAfee