Worm.Win32.FlyStudio

Дата обнаружения 08/09/2009
Класс Worm
Платформа Win32
Описание

После запуска червь выполняет следующие действия:

  • выводит на экран сообщение:

  • Создает каталоги:
    
    
    
    %Temp%E_N4
    
    
    
    %System%499E86
    
    
    
    %System%2B4FA4
    
    
    
    %System%A9C3FF
    
    
    
    

    Каталоги создаются с атрибутом «скрытый» (hidden).

  • Извлекает из своего тела файлы, которые сохраняются в системе под следующими именами:
    
    
    
    %Temp%E_N4krnln.fnr (1101824 байта)
    
    
    
    %Temp%E_N4HtmlView.fne (217088 байт)
    
    
    
    %Temp%E_N4internet.fne (184320 байт)
    
    
    
    %Temp%eAPI.fne (323584 байта)
    
    
    
    %Temp%E_N4shell.fne (40960 байт)
    
    
    
    %Temp%E_N4dp1.fne (114688 байт)
    
    
    
    %Temp%E_N4cnvpe.fne (61440 байт)
    
    
    
    %Temp%E_N4spec.fne (73728 байт)
    
    
    
    %System%499E86krnln.fnr (1101824 байта)
    
    
    
    %System%499E86HtmlView.fne (217088 байт)
    
    
    
    %System%499E86internet.fne (184320 байт)
    
    
    
    %System%499E86eAPI.fne (323584 байта)
    
    
    
    %System%499E86shell.fne (40960 байт)
    
    
    
    %System%499E86dp1.fne (114688 байт)
    
    
    
    %System%499E86cnvpe.fne (61440 байт)
    
    
    
    %System%499E86spec.fne (73728 байт)
    
    
    
    %System%499E86RegEx.fnr (217088 байт)
    
    
    
    

    Для всех файлов из каталога «%System%499E86» устанавливается атрибут «скрытый» (hidden).

  • Для автоматического запуска троянца при каждом следующем входе пользователя в систему создается следующий ярлык:
    %USERPROFILE%Главное менюПрограммы
    АвтозагрузкаC00285.lnk