Kaspersky Threats

Bulunma tarihi

06/30/2010

Sınıf

Worm

Platform

Win32

Açıklama

Solucan .dll dosyasını tüm aktif işlemlere yükler.

Solucan ayrıca, aşağıda listelenen işlemlerden biri başlatılmışsa, fare ve klavye olaylarını da ele geçirir:

maplestory.exe
dekaron.exe
Gc.exe.exe
RagFree.exe
Ragexe.exe
ybclient.exe
wsm.exe
sro_client.exe
so3d.exe
ge.exe
elementclient.exe

Solucan aşağıdaki oyunlar ile ilgili hesap verilerini toplar:

Zhengtu
Wanmi Shijie veya Mükemmel Bir Dünya
Dekaron Siwan Mojie
HuangYi Çevrimiçi
Rexue Jianghu
Rohan
Çevrimiçi Mühür
Akçaağaç hikayesi
R2 (Devrimin Hükümdarlığı)
Talesweaver

Hasat verileri, uzaktaki kötü niyetli kullanıcının sitesine gönderilir.

Solucan ayrıca aşağıdaki sistem kayıt defteri anahtarı parametre değerlerini de değiştirir:

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFol
derHiddenSHOWALL]
"CheckedValue" = "0"
[HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced]
"Gizli" = "2"
[HKCUSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvanced]
"ShowSuperHidden" = "0"
[HKCUSOFTWAREMicrosoftWindowsCurrentVersionPociliesExplorer]
"NoDriveTypeAutoRun" = "0x91"

Örneğin Worm.Win32.AutoRun.beot:

Solucan kendini yerel disklere ve erişilebilir ağ kaynaklarına kopyalar. Windows (PE-EXE dosyası). Boyutu 47733 bayttır. Bu FSG tarafından doludur. Paketlenmemiş dosya boyutu yaklaşık 160 Kb'dir. Delphi'de yazılmıştır.

Kurulum

Bir kez başlatıldığında, solucan, bir kullanıcının bilgisayarının bir sistem diskine vücudunu kopyalar.

Oluşturulan kopya sistemin her yeniden başlatıldığında otomatik olarak başlatıldığından emin olmak için aşağıdaki kayıt defteri anahtarı oluşturulur:

 [HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun]

Yayılma

Solucan, vücudu virüslü bilgisayara bağlı tüm yazılabilir çıkarılabilir disklere kopyalar. "AutoRun.inf" dosyası, virüslü bir diskin kökünde bir kopya ile birlikte oluşturulur. Bir kullanıcı, "Explorer" kullanarak virüslü bir çıkarılabilir diski her açtığınızda çalışacak bir kopyasını sağlar.

Orijinaline link