Специалисты компании Sophos перехватили в интернете спамерскую почтовую рассылку якобы от Microsoft, в которой содержится изображение со ссылкой на URL с файлом ie7.0.exe, представляющим собой червя W32/Grum-A. Письмо приходит с адресом отправителя «admin@microsoft.com» и темой Internet Explorer 7 Download. По словам старшего технического консультанта Sophos Грэма Клули (Graham Cluley), на первый взгляд письмо невозможно отличить от настоящего. Изображение, ведущее на URL с червём, взято с сайта Internet Exporer 7. Червь представляет собой вирус, дописывающийся к исполняемым файлам, на которые указывает ветка реестра с автозапуском (Software/Microsoft/Windows/CurrentVersion/Run в разделах HKLM и HKCU). При запуске червь копирует себя во временную директорию (папку) под именем winlogon.exe и вносит изменения в реестр. Червь также модифицирует файл hosts, подменяя ip-адреса некоторых сайтов, создаёт поток в system.dll и пытается изменить системные библиотеки ntdll и kernel32.
Источник