Net-Worm.Win32.Kido

Lorsqu'il est lancé, le ver injecte son code dans l'espace d'adressage de l'un des processus système "svchost.exe" actifs. Ce code fournit la charge utile malveillante principale du ver et:

• désactive les services suivants:

   wuauserv
  MORCEAUX 

• bloque l'accès aux adresses qui contiennent l'une des chaînes énumérées ci-dessous:

   indowsupdate
  wilderssecurity
  threatexpert
  castlecops
  spamhaus
  cpsecure
  arcabit
  emsisoft
  ceinture de soleil
  securecomputing
  en hausse
  prevx
  pctools
  normand
  k7computing
  Ikarus
  hauri
  hacksoft
  gdata
  fortinet
  ewido
  clamav
  Comodo
  rapide
  avira
  avast
  Esafe
  ahnlab
  commande centrale
  drweb
  grisoft
  Eset
  nod32
  f-prot
  jotti
  Kaspersky
  f-sécurisé
  computerassociates
  networkassociates
  etrust
  Panda
  sophos
  trendmicro
  mcafee
  Norton
  symantec
  Microsoft
  défenseur
  rootkit
  malware
  Spyware
  virus 

Le ver peut également télécharger des fichiers à partir de liens du type ci-dessous:

 http: // <URL> / recherche? q = <% rnd2%> 

rnd2 est un nombre aléatoire; URL est un lien généré par un algorithme spécial qui utilise la date actuelle. Le ver obtient la date actuelle de l'un des sites indiqués ci-dessous:

 http://www.w3.org
http://www.ask.com
http://www.msn.com
http://www.yahoo.com
http://www.google.com
http://www.baidu.com 

Les fichiers téléchargés sont enregistrés dans le répertoire système Windows sous leur nom d'origine.