Net-Worm.Win32.Kido

Cuando se inicia, el gusano inyecta su código en el espacio de direcciones de uno de los procesos activos del sistema "svchost.exe". Este código entrega la carga útil maliciosa principal del gusano y:

• deshabilita los siguientes servicios:

   wuauserv
  BITS 

• bloquea el acceso a las direcciones que contienen cualquiera de las cadenas enumeradas a continuación:

   indowsupdate
  wilderssecurity
  threatexpert
  Castlecops
  Spamhaus
  cpsecure
  arcabit
  emsisoft
  Sunbelt
  securecomputing
  creciente
  prevx
  pctools
  normando
  k7computing
  ikarus
  Hauri
  hacksoft
  gdata
  fortinet
  ewido
  clamav
  comodo
  sanar rapido
  Avira
  avast
  Esafe
  ahnlab
  comando central
  drweb
  grisoft
  eset
  nod32
  f-prot
  jotti
  kaspersky
  f-seguro
  computerassociates
  networkassociates
  etrust
  panda
  sophos
  trendmicro
  mcafee
  norton
  symantec
  microsoft
  defensor
  rootkit
  malware
  spyware
  virus 

El gusano también puede descargar archivos de enlaces del tipo que se muestra a continuación:

 http: // <URL> / search? q = <% rnd2%> 

rnd2 es un número aleatorio; La URL es un enlace generado por un algoritmo especial que utiliza la fecha actual. El gusano obtiene la fecha actual de uno de los sitios que se muestran a continuación:

 http://www.w3.org
http://www.ask.com
http://www.msn.com
http://www.yahoo.com
http://www.google.com
http://www.baidu.com 

Los archivos descargados se guardan en el directorio del sistema de Windows con sus nombres originales.