Червь, создающий свои копии на локальных и доступных для записи съемных дисках. Является приложением Windows (PE-EXE файл). Имеет размер 53248 байт.
Червь, создающий свои копии на локальных и доступных для записи съемных дисках. Является приложением Windows (PE-EXE файл). Имеет размер 53248 байт. Написан на Visual Basic.
После запуска червь копирует свое тело в файл:
%USERPROFILE%\<имя текущего пользователя>.exeФайл создается с атрибутами "скрытый" (hidden), "системный" (system), "только чтение" (read only).
Каждый раз при копировании оригинального файла вредоноса определенные участки копии случайным образом модифицируются. К примеру:
Подобные модификации не влияют на размер файла и его функционал, однако позволяют в некоторых случаях обойти сигнатурный анализатор антивируса. Все модифицированные копии, созданные во время написания данного описания, детектировались Антивирусом Касперского как "Worm.Win32.VBNA.fcm".
Для автоматического запуска созданной копии при каждом следующем старте системы создается ключ системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]После этого созданная копия запускается на выполнение.
"<имя текущего пользователя>" = "%USERPROFILE%\
<имя текущего пользователя>.exe"
Червь копирует свое тело на все доступные для записи съемные диски под следующим именем:
<имя зараженного раздела>:\<имя текущего пользователя>.exeФайлу присваиваются атрибуты "скрытый" (hidden), "системный" (system), "только чтение" (read only).
Вместе со своим исполняемым файлом червь помещает файл:
<имя зараженного раздела>:\autorun.infследующего содержания:
[AUTOrun]что позволяет червю запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".
action=Open folder to view files
shELLExecUtE=tEst.eXe
icoN=sYSteMROoT%\SYStEM32\ShELl32.Dll,4
uSEAuToplaY=1
После запуска вредонос выполняет следующие действия:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]Последний ключ отключает отображение скрытых файлов Проводником Windows.
"<имя текущего пользователя>" = "%USERPROFILE%\
<имя текущего пользователя>.exe"
[HKCU\Software\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"ShowSuperHidden" = "0"
reader_sl.exe
360tray.exe
Avp32.exe
Avpcc.exe
Avpm.exe
Avpupd.exe
CCenter.exe
Fsgk32.exe
KavPFW.exe
NISSERV.EXE
Navrunr.exe
Navw32.exe
Navwnt.exe
SAVScan.exe
avcenter.exe
avgnt.exe
avguard.exe
avp.exe
cpd.exe
fsav32.exe
fsbwsys.exe
ns1.the***lour.net