P2P-Worm.Win32.Gotorm

Technical Details

Вирус-червь. Распространяется по peer-to-peer сети Kazaa. Кроме этого содержит шпионскую функцию по сбору информации об установленных на зараженном компьютере некоторых игр. Червь является приложением Windows (PE EXE-файл), написан на Visual С и имеет размер 196 608 байт.

Инсталляция

При инсталляции червь выводит на экран ложное сообщение об ошибке при распаковке архива:

После чего копирует себя в каталог Windows с именем:

mrowyekdc.exe

Эта копия червя затем регистрируется в ключе автозапуска системного реестра:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun
  SVCHOST = %WindowsDir%mrowyekdc.exe

Распространение

Червь создает в каталоге Windows подкаталог «User Files», в который копирует себя под следующими именами:

Starcraft + Broodwar 1.10 map hack.exe
Starcraft + Broodwar 1.10 no-cd hack.exe
Diablo 2 map hack.exe
Diablo 2 no-cd hack.exe
Jamella’s Diablo 2 hero editor.exe
Warcraft 3 map hack.exe
Warcraft 3 stat hack.exe
Warcraft 3 no-cd hack.exe
Warcraft 3 Frozen Throne map hack.exe
Warcraft 3 Frozen Throne cd-cd hack.exe
The Frozen Throne map hack.exe
Counterstrike hacks.exe
Counterstrike aim hack.exe

Данный каталог прописывается в системном реестре Windows как Local Content системы файлообмена Kazaa:

 HKCUSoftwareKazaaLocalContent
  dir0 = 012345:%Windir%User Files
  DisableSharing = "0

В результате чего данные файлы становятся доступны для загрузки другими пользователями P2P сетей.

Шпионская функция

Червь проверяет наличие в системном реестре ключей относящихся к популярным компьютерным играм (Counter-Strike, Diablo, Warcraft, Starcraft) и отсылает найденные данные «хозяину» червя, используя прямое подключение к SMTP-серверу.

Прочее

Червь проверяет системную дату и время и если месяц активации червя — меньше чем август, он перестает работать и удаляет свои ключи из системного реестра.