Программа - червь, создающая свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является скомпилированным скриптом AutoIt.

Программа - червь, создающая свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является скомпилированным скриптом AutoIt. Размер скрипта составляет 28298 байт. Размер скомпилированного скрипта около - 1,02 МБ.

Инсталляция

Если червь запускается с правами администратора - выполняет следующий функционал:

• Удаляет следующие файлы:

  %System%\setup.ini
  %System%\regsvr.exe
  %System%\winhelp.exe
  %WinDir%\regsvr.exe
  

• Переименовывает файл:

  %System%\rundll.exe

  в

  %System%\delete.exe

• Восстанавливает автозапуск "Проводника" перезаписав следующие значения в системный реестр:

  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
  "Shell" = "Explorer.exe"

• Разблокирует запуск "Диспетчера задач" и "Редактора реестра" установив следующие значения в ключе системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
  "DisableTaskMgr"=0
  "DisableRegistryTools"=0
  

• Открывает пункт меню "Свoйcтва пaпки" в "Проводнике" и в "Панели инструментов", изменяя следующий ключ реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
  "NofolderOptions" = 0
  

• Останавливает выполнение запланированных в Windows задач, изменяя ключ реестра:

  [HKLM\System\CurrentControlSet\Services\Schedule] 
  "AtTaskMaxHours" = 0
  

• Отключает автозапуск приложения "Msn Messsenger", удаляя параметр "Msn Messsenger" из ключа реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]

System%\28463\svchost.exe

%System%\28463\svchost.001

Также копирует себя под такими именами:

%System%\regsvr.exe
%System%\svchost.exe
%WinDir%\regsvr.exe

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Msn Messsenger"="C:\Windows\system32\regsvr.exe"
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe regsvr.exe "

%Documents and Settings%\%Current User%\Application Data\
support

%Documents and Settings%\%Current User%\Application Data\support\regsvr.exe

%Documents and Settings%\%Current User%\
Application Data\support\svchost.exe
%Documents and Settings%\%Current User%\Application Data\support\svchost.001

Деструктивная активность

Затем червь запускает на выполнение файл:

%System%\28463\svchost.exe

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=1

%System%\svchost.exe

%System%\setup.ini

[Autorun]
Open=regsvr.exe
Shellexecute=regsvr.exe
Shell\Open\command=regsvr.exe
Shell=Open

http://ya***o.com/setting.xls
http://ya***o.com/setting.doc

%System%\setting.ini

Сохраненному файлу устанавливает атрибуты "Только на чтение", "Скрытый", "Системный". Загруженный файл хранит в себе ссылки, по которым червь загружает другое вредоносное ПО. Вредонос собирает ссылки, предварительно выполнив чтение из секции "[setting]", файла настроек "setting.ini", значений параметров "website", "filedownload1", "filedownload2", "filedownload3", "filedownload4", "filedownload5". Загруженный исполняемый файл сохраняется в системном каталоге Windows под именем, указанным в параметрах "filedownload1", "filedownload2", "filedownload3", "filedownload4", "filedownload5". Всем загруженным файлам червь устанавливает атрибуты "Только на чтение", "Скрытый", "Системный". Затем, с интервалом в 3 секунды, запускает файлы на выполнение.

Далее червь считывает из файла "setting.ini" строки из ключей "tin[X]" и ссылку из ключа "myweb" секции "[setting]". Где X - число от 0 до 9. Если строки и вэб-адрес отсутствуют - червь, по умолчанию, в качестве URL использует адрес - "http://yahoo.com", а в качестве строк используются следующие:

cyber cafe scandal visit www. 
World Business news broadcaster www.
 Regular monthly income by wearing your 
shorts at the comfort of your home for more info www.
Nfs carbon download www.
Latest video shot of infosys girl www.
Latest video shot of infosys girl www.
stream Video of Nayanthara and Simbu  www.
Aishwarya Rai videos www.
Free mobile games www.
Nse going to crash for more www.

Также отправляет данную строку в виде поискового запроса из клиента. С интервалом в 1 секунду, червь пытается завершить процессы "game_y.exe" и "cmder.exe". Ищет и закрывает окна, заголовки которых содержат строки:

System Configuration
Registry
Windows mask

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]

Распространение

Червь получает список всех общедоступных сетевых ресурсов, читая значения параметров ключа реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
WorkgroupCrawler\Shares]

%WinDir%\regsvr.exe
%System%\regsvr.exe

\\<имя_сервера>\<имя_сетевого_ресурса>\New Folder .exe
\\<имя_сервера>\<имя_сетевого_ресурса>\regsvr.exe

%System%\setup.ini

\\<имя_сервера>\<имя_сетевого_ресурса>\autorun.inf

X:\autorun.inf
X:\New Folder .exe
X:\regsvr.exe

После этого создает следующий параметр в ключе реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
WorkgroupCrawler\Shares]
"shared"="\\New Folder .exe"