W32/Nicehello-A is a worm that arrives in an email with one of the following sets of characteristics:
Subject line: Codigo fuente
Message text: Hola, te mando el codigo fuente que te prometi, esta comprimido; ya sabes esto es solo para vos!!. Saludos
Attached file: condigo.exe
Subject line: Mis primeras animaciones
Message text: Te mando la primera animacion en flash sobre nuestros amigos; espero tus comentarios, recuerda que es solo para vos
Attached file: animacion.exe
Subject line: parche
Message text: El parche del programa que me pediste. Cualquier cosa estoy para ayudarte. recuerda que es solo para vos
Attached file: parche.exe
Subject line: Actualizacion de programa
Message text: Recien puedo enviarte la actualizacion, es que tuve mucho trabajo, recuerda que es solo para vos
Attached file: actualizacion.exe
Subject line: Datos ultimo trimistre
Message text: Los datos del ultimo trimestre esta en el archivo adjunto, estan comprimidos, recuerda que es solo para vos
Attached file: datos.exe
Subject line: Presentaciones PowerPoint
Message text: Las presentaciones en power point que tenia que mandarte, estan comprimidas en el archivo adjunto, recuerda que es solo para vos
Attached file: presentaciones.exe
Subject line: ahora el juego va a funcionar
Message text: El parche para el juego que mas te gusta, esta comprimido, recuerda que es solo para vos
Attached file: parchejuego.exe
Subject line: Fotos ultima fiesta
Message text: Hola, como estas, te mando las fotos de la ultima fiesta, por cierto tienes una cara!!!. , recuerda que es solo para vos. bye
Attached file: fotos.exe
Subject line: Video de la ultima reunion de amigos, recuerda que es solo para vos
Message text: Hola, te mando el video de la ultima fiesta, no se ve muy bien pero algo es algo, recuerda que es solo para vos
Attached file: video.exe
Subject line: Animaciones en flash de nuestros politicos
Message text: Mira las animaciones sobre la clase politica del pais, recuerda que es solo para vos
Attached file: politicos.exe
When the worm is first run a copy is intended to be created in the folder C:\Windows\system or C:\winnt\system32 with the filename sys64dvr.exe. A bug will cause the worm to be copied to C:\Windows\systemsys64dvr.exe or C:\winnt\system32sys64dvr instead.
The following registry entry will be created to run the worm when Windows starts up:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
System 64 Driver for Games = sys64dvr.exe
Since the worm is not copied to the correct location the worm will not be run when Windows starts up.
W32/Nicehello-A sends an email to the attacker with details of the victim's MSN account.
W32/Nicehello-A displays a message box containing the text "Microsoft Windows XP or greater required!"