Worm.Win32.FakeFolder

Червь в бесконечном цикле проверяет список подключенных к зараженному компьютеру дисков и в случае нахождения съемных дисков выполняет следующие действия:

• копирует свое тело в корневой каталог таковых под именем:

  %RemovableDrive%MyDocument.exe

  rде %RemovableDrive% – корневой каталог съемного диска.

• создает в корневом каталоге съемного диска папку с именем «MyDocuments» и переносит все файлы и каталоги находящиеся на этом диске в созданный каталог.
• устанавливает атрибут «Скрытый» («Hidden») для созданного каталога.

  Таким образом, если у пользователя отключено отображение скрытых файлов и папок, он увидит в корневом каталоге диска только копию троянца, имеющую иконку каталога.

  Также при запуске троянец открывает в «Проводнике» каталог содержащий пользовательские файлы.