A Kazaa hálózatán terjed egy új féreg
Kristóf Csaba,
2006. május 6. -
Vírusvédelem
Hír küldése
Az Amirecivel nevű féreg elsősorban a Kazaa fájlcserélő hálózatán terjed, és rengeteg fertőzött fájllal árasztja el a kiszemelt számítógépeket.
Az Amirecivel féreg eddig leginkább a Kazaa fájlcserélő hálózatain bukkant fel. A féreg a fertőzött számítógépeken minden olyan könyvtárba bemásolja magát, amelyek elérési útvonala tartalmaz legalább egy darab "r" betűt.
Az Amirecivel elrejt néhány ablakot a felhasználó elől, köztük olyanokat is, amelyek valamilyen biztonsági szoftverhez tartoznak. A féreg egyes esetekben újraindítja a fertőzött számítógépeket.
Amikor az Amirecivel féreg elindul, akkor az alábbi műveleteket hatja végre:
1. Létrehozza a következő fájlokat:
%System%\svchot.exe
C:\Program Files\Kazaa\My Shared Folder\kaza.cmd
C:\Program Files\Kazaa\My Shared Folder\iraq.pic.scr
C:\Program Files\Kazaa\My Shared Folder\CIVIL.exe
D:\amir_civil.cmd
D:\SCREEN_SAVER.scr
D:\SCREEN_SAVER2.scr
D:\Program Files\Kazaa\My Shared Folder\iran.pic.pif
E:\002.pic.pif
E:\amir_civil.scr
F:\amir_civil3.scr
E:\cool.pic.scr
E:\winx32.pif
F:\iran.scr
F:\iran_02.scr
G:\amir_civil.cmd
G:\anti_virus(norton).doc.cmd
2. Minden olyan könyvtárba bemásolja magát project2.exe néven, amelyek elérési útvonalában szerepel egy "r" betű.
3. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja az
"amircivil" = "%System%\svchot.exe..." értéket.
4. Létrehozza a következő bejegyzést a regisztrációs adatbázisban:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\amir_civil
5. Néhány megjelenő ablakot (köztük biztonsági szoftverekét is) elrejt.
6. Újraindítja a számítógépet.
Az Amirecivel elrejt néhány ablakot a felhasználó elől, köztük olyanokat is, amelyek valamilyen biztonsági szoftverhez tartoznak. A féreg egyes esetekben újraindítja a fertőzött számítógépeket.
Amikor az Amirecivel féreg elindul, akkor az alábbi műveleteket hatja végre:
1. Létrehozza a következő fájlokat:
%System%\svchot.exe
C:\Program Files\Kazaa\My Shared Folder\kaza.cmd
C:\Program Files\Kazaa\My Shared Folder\iraq.pic.scr
C:\Program Files\Kazaa\My Shared Folder\CIVIL.exe
D:\amir_civil.cmd
D:\SCREEN_SAVER.scr
D:\SCREEN_SAVER2.scr
D:\Program Files\Kazaa\My Shared Folder\iran.pic.pif
E:\002.pic.pif
E:\amir_civil.scr
F:\amir_civil3.scr
E:\cool.pic.scr
E:\winx32.pif
F:\iran.scr
F:\iran_02.scr
G:\amir_civil.cmd
G:\anti_virus(norton).doc.cmd
2. Minden olyan könyvtárba bemásolja magát project2.exe néven, amelyek elérési útvonalában szerepel egy "r" betű.
3. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja az
"amircivil" = "%System%\svchot.exe..." értéket.
4. Létrehozza a következő bejegyzést a regisztrációs adatbázisban:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\amir_civil
5. Néhány megjelenő ablakot (köztük biztonsági szoftverekét is) elrejt.
6. Újraindítja a számítógépet.
Hozzászólások