Segédprogramokat tesz elérhetetlenné az Alcra féreg
Kristóf Csaba,
2005. június 30. -
Vírusvédelem
Hír küldése
Az Alcra.B féreg elsősorban fájlcserélő hálózatokon keresztül terjed, és számos windowsos segédprogramot tesz elérhetetlenné.
Az Alcra.B féreg fájlcserélő hálózatokon keresztül meglehetősen gyorsan terjed. A féreg egy telepítőnek próbálja álcázni magát. A fertőzés után számos módosítást hajt végre, amelyek révén több segédprogramot is elérhetetlenné tesz.
Amikor az Alcra.B elindul, akkor az alábbi műveleteket hajtja végre:
1. Bemásolja magát a következő könyvtárakba:
%ProgramFiles%\winupdates\winupdates.exe
%ProgramFiles%\winupdates\a.tmp
%ProgramFiles%\winupdates\a.zip
2. Létrehozza az alábbi állományt:
%System%\bszip.dll
3. Létrehozza a következő fájlokat, majd azokat rejtett és rendszer attribútumokkal látja el:
%System%\cmd.com
%System%\netstat.com
%System%\ping.com
%System%\regedit.com
%System%\taskkill.com
%System%\tasklist.com
%System%\tracert.com
%System%\taskmgr.exe.
4. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja a
"winupdates" = "%ProgramFiles%\winupdates\winupdates.exe /auto" értéket.
5. Megjeleníti a következő ablakot:
Amikor az Alcra.B elindul, akkor az alábbi műveleteket hajtja végre:
1. Bemásolja magát a következő könyvtárakba:
%ProgramFiles%\winupdates\winupdates.exe
%ProgramFiles%\winupdates\a.tmp
%ProgramFiles%\winupdates\a.zip
2. Létrehozza az alábbi állományt:
%System%\bszip.dll
3. Létrehozza a következő fájlokat, majd azokat rejtett és rendszer attribútumokkal látja el:
%System%\cmd.com
%System%\netstat.com
%System%\ping.com
%System%\regedit.com
%System%\taskkill.com
%System%\tasklist.com
%System%\tracert.com
%System%\taskmgr.exe.
4. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja a
"winupdates" = "%ProgramFiles%\winupdates\winupdates.exe /auto" értéket.
5. Megjeleníti a következő ablakot:
Amikor a felhasználó a "Next" gombra kattint, akkor az alábbi hibaüzenet jelenik meg:
6. Az Internet kapcsolat ellenőrzése érdekében megpróbál kapcsolódni a http://windowsupdate.microsoft.com weboldalhoz.
7. Fájlokat tölt le az Internetről, majd csatlakozik számos weboldalhoz.
8. A megnyitott weboldalakon található szövegekből fájlnevet generál. Ezzel a fájlnévvel és .zip kiterjesztéssel bemásolja magát a legnépszerűbb fájlcserélő programok megosztott könyvtáraiba.
Hozzászólások