Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI) am 17./20.07.2001
Im Internet ist Massenmail-Wurm "W32.SIRCam.Worm@MM" aufgetaucht. Der Wurm verbreitet sich als E-Mail-Anhang.
Die Betreffzeile der Mail lautet: Name des Dokuments, welches als Anhang beigefügt ist, jedoch ohne die zweite Dateierweiterung (z.B. Tech Specs and Financials.doc")
Der Textkörper der Mail heißt: Hi! How are you? I send you this file in order to have your advice See you later! Thanks
Der Mailanhang trägt den Namen: "SirC32.exe" oder beliebige andere Namen, z.B. "Tech Specs and Financials.doc.com"
Je nach Einstellung der Anzeige der Dateieigenschaften wird vielleicht nur "Tech Specs and Financials.doc" angezeigt.
Wird der Virus von einem Benutzer zum Beispiel durch einen Doppelklick auf einen verseuchten Anhang aufgerufen, kopiert er seinen Code in die Verzeichnisse c:\recycled\ als SirC32.exe und in das Windows System-Verzeichnis als SCam32.exe
Die Datei SirC32.exe wird als Standard Startup Command für EXE-Dateien benutzt. Dadurch wird diese Datei stets aufgerufen, wenn eine EXE-Datei ausgeführt wird. Die Datei SCam32.exe wird als Treiber registriert. Dadurch wird Sie bei jedem Start von Windows aufgerufen.
SIRCam sammelt E-Mail-Adressen aus dem Adressbuch von Windows und kopiert diese im Windows System-Verzeichnis in eine Datei scw1.dll. Dieser Name kann aber auch zufällig festgelegt werden.