Wabot is een internetworm die zich verspreidt via het IRC- chatprogramma.
Het probeert om contact te komen met andere IRC gebruikers door te zoekn naar chats met:
-#hellothere
-term ‘mp3’ in de titel
-term ‘xdcc’ in de titel
Zogauw de worm op een systeem binnen is gekomen probeert het zich te nestelen op dit systeem. Het installeert de volgende bestanden in de standaard Windows-system32 directorie:
* sIRC4.exe
*marijuana.txt
De wijzigingsdatum van de bestanden is gelijk aan de datum van infectie.
Vervolgens maakt het de volgende registry-sleutel aan:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion \Winlogon\”Shell” = “Explorer.exe sIRC4.exe”
De worm zoekt naar bestanden met de volgende extensies:
.exe
.scr
.com
.pif
.cmd
.bat
Een copie van deze bestanden plaatst het met haar eigen worm-code toegevoegd in een van deze twee directories:
* [standaard Windows System directorie]\DC++ Share
* [standaard Windows System directorie]\xdccPrograms