Worm.Win32.FlyStudio

После запуска червь выполняет следующие действия:

• выводит на экран сообщение:

  

• Создает каталоги:

  
  
  
  %Temp%E_N4
  
  
  
  %System%499E86
  
  
  
  %System%2B4FA4
  
  
  
  %System%A9C3FF
  
  
  
  

  Каталоги создаются с атрибутом “скрытый” (hidden).

• Извлекает из своего тела файлы, которые сохраняются в системе под следующими именами:

  
  
  
  %Temp%E_N4krnln.fnr (1101824 байта)
  
  
  
  %Temp%E_N4HtmlView.fne (217088 байт)
  
  
  
  %Temp%E_N4internet.fne (184320 байт)
  
  
  
  %Temp%eAPI.fne (323584 байта)
  
  
  
  %Temp%E_N4shell.fne (40960 байт)
  
  
  
  %Temp%E_N4dp1.fne (114688 байт)
  
  
  
  %Temp%E_N4cnvpe.fne (61440 байт)
  
  
  
  %Temp%E_N4spec.fne (73728 байт)
  
  
  
  %System%499E86krnln.fnr (1101824 байта)
  
  
  
  %System%499E86HtmlView.fne (217088 байт)
  
  
  
  %System%499E86internet.fne (184320 байт)
  
  
  
  %System%499E86eAPI.fne (323584 байта)
  
  
  
  %System%499E86shell.fne (40960 байт)
  
  
  
  %System%499E86dp1.fne (114688 байт)
  
  
  
  %System%499E86cnvpe.fne (61440 байт)
  
  
  
  %System%499E86spec.fne (73728 байт)
  
  
  
  %System%499E86RegEx.fnr (217088 байт)
  
  
  
  

  Для всех файлов из каталога “%System%499E86” устанавливается атрибут “скрытый” (hidden).

• Для автоматического запуска троянца при каждом следующем входе пользователя в систему создается следующий ярлык:

  %USERPROFILE%Главное менюПрограммы
  АвтозагрузкаC00285.lnk