A Jambu féreg egy Flash Player alkalmazásnak igyekszik álcázni magát, miközben egy hamis üzenet révén közli a felhasználóval, hogy a számítógépén nincs feltelepítve a „Flash 8 Player” szoftver. A féreg számos fájlt hoz létre fertőzött PC-ken, majd rengeteg módosítást eszközöl a regisztrációs adatbázisban. E módosítások révén számos Windows funkciót elérhetetlenné tesz. Többek között használhatatlanná teszi a parancssori ablakot, valamint a regisztrációs adatbázis szerkesztőjét.
A féreg a saját fájljait igyekszik minél több meghajtóra felmásolni, és nem kíméli a cserélhető adattárolókat, valamint a hálózati meghajtókat sem.
Amikor a Jambu féreg elindul, akkor az alábbi műveleteket hajtja végre:
1. Megjeleníti a következő üzenetet:
"The movie cannot loaded because no Flash 8 Player found on your computer. Please installed first or go to www.macromedia.com to download latest Flash Player."
2. Létrehozza az alábbi fájlokat:
%Windir%\system\Flash Player.exe
%System%\6666.com
%System%\Flash_8_Player.exe
%System%\w32sys.exe
3. Minden helyi, cserélhető és hálózati meghajtóra felmásolja a következő állományokat:
\Documents and Settings\All Users\Start Menu\Programs\Startup\(Empty).empty
\Documents and Settings\All Users\Start Menu\Flash Games.exe
\Program Files\Common Files\Microsoft Shared\DAO\AVRSYS.EXE
\Program Files\Common Files\Microsoft Shared\MSN.msn
4. Létrehozza a következő fájlokat:
\MESSAGE FROM HELL.HTML
\FlashGame.exe
%Windir%\Media\AUTORUN.INF
%Windir%\Media\Macromedia_Setup.exe
5. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Run\"Macromedia 8" = "%System%\Flash Player.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Run\"W32SYS" = "%System%\w32sys.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Run\"MSN Setup" = "C:\Program Files\Common Files\Microsoft Shared\MSN.msn"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\JambanMu
HKEY_CLASSES_ROOT\.empty
HKEY_CLASSES_ROOT\.fold
HKEY_CLASSES_ROOT\.ie
HKEY_CLASSES_ROOT\.lagu
HKEY_CLASSES_ROOT\.msn
HKEY_CLASSES_ROOT\.pik
HKEY_CLASSES_ROOT\.texz
HKEY_CLASSES_ROOT\.vidz
6. A regisztrációs adatbázisban módosítja az alábbi bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Explorer\Advanced\"ShowSuperHidden" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Explorer\Advanced\"HideFileExt" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Explorer\Advanced\"Hidden" = "0"
HKEY_CLASSES_ROOT\comfile\DefaultIcon\"(Default)" = "%SystemDrive%\System32\shell32.dll,130"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\Explorer\"NoFind" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\Explorer\"NoRun" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\System\"DisableRegistryTools" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe "%System%\6666.com""
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\ System\"DisableCMD" = "2". "
(Forrás: http://www.lhp.hu/rss/hir_nyit_frm.php?a=4100904&hl=1&k=5)
