Признаки
При запуске сохраняет себя как:
* %System%\Windows 3d.scr
* %System%\commandprompt.sysm
* %System%\desktop.sysm
* %UserProfile%\application data\Microsoft\[4 случайные буквы].exe
(%System% - системная директория Windows, %UserProfile% - директория с данными приложений и системы для текущего пользователя)
Также создает файлы:
* %System%\maxtrox.txt
* %UserProfile%\Application Data\Microsoft\[4 случайных цифры]
Также может создать файл "desktop.ini" в ряде директорий.
Также создает директории:
* %UserProfile%\applications data\excel
* %UserProfile%\applications data\media player
* %UserProfile%\applications data\Microsoft
* %UserProfile%\applications data\office
* %UserProfile%\applications data\Windows
* %UserProfile%\applications data\word
Обеспечивает себе автозагрузку при старте Windows, в т.ч. и в "Безопасном режиме". Для этого добавляет в реестр следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"VisualStyle" = "%System%\desktop.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\"AlternateShell" = "%System%\commandprompt.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\"AlternateShell" = "%System%\commandprompt.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\"AlternateShell" = "%System%\commandprompt.sysm"
Модифицирует настройки "Проводника" (explorer.exe), затрудняя свое визуальное обнаружение:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\cabinetstate\"FullPathAddress"" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\"checkedvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ShowFullPath\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ShowFullPath\"uncheckedvalue" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ShowFullPathAddress\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ShowFullPathAddress\"uncheckedvalue" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\"checkedvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\"defaultvalue" = "1"
Создает в реестре записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\" @" = "system mechanic"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\defaulticon\"@" = "%System%\netsetup.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\shell\open\command\"@" = "%1"
Заражает все файлы ".exe" в директории, используемой по умолчанию для установки приложений (обычно, "Program Files").
ЗАЩИТА:
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие:
Вирус для платформы Windows. Заражает исполняемые файлы формата "PE" с расширением ".exe" в директории "Program Files".
Безопасность в интернете, то что должен знать каждый человек у которого есть компьютер! Информация будет полезна для администраторов, занимающихся обеспечением безопасности сетей, для программистов, стремящихся к созданию защищенных приложений, а также для всех тех, кто интересуется вопросами сетевой защиты.
0 коментарии:
Оставить коментарий