Сетевой червь, распространяющийся через локальную сеть и при помощи съемных носителей информации. Программа является динамической библиотекой Windows (PE DLL-файл). Размер компонентов варьируется в пределах от 155 165 КБ. Упакован при помощи UPX.

Описание составил Киктенко Виталий, 12 января 2009

Инсталляция
Червь копирует свой исполняемый файл в системный каталог Windows со случайным именем вида:

Для автоматического запуска при следующем старте системы червь создает службу, которая запускает его исполняемый файл при каждой последующей загрузке Windows. При этом создается следующий ключ реестра:

Также червь изменяет значение следующего ключа реестра:

Распространение по сети
При заражении компьютера червь запускает HTTP сервер на случайном TCP порту, который затем используется для загрузки исполняемого файла червя на другие компьютеры.
Червь получает список IP адресов компьютеров, находящихся в сетевом окружении зараженной машины и производит на них атаку, использующую уязвимость переполнения буфера MS08-067 в сервисе «Сервер» (подробнее об уязвимости на сайте microsoft.com). Для этого червь отсылает удаленной машине специальным образом сформированный RPC-запрос, который вызывает переполнение буфера при вызове функции wcscpy_s в библиотеке netapi32.dll, в результате чего запускается специальный код-загрузчик, который скачивает с зараженной машины исполняемый файл червя и запускает его. После чего происходит инсталляция червя на атакуемой машине.

Для того, чтобы воспользоваться вышеуказанной уязвимостью, червь пытается подключиться к удаленной машине под учетной записью администратора. Для этого червь последовательно перебирает следующие пароли:

Распространение при помощи сменных носителей
Червь копирует свой исполняемый файл на все съемные диски со следующим именем:

Также вместе со своим исполняемым файлом червь помещает в корень каждого диска сопровождающий файл:

Данный файл запускает исполняемый файл червя каждый раз, когда пользователь открывает зараженный раздел при помощи прoграммы "Проводник".

Деструктивная активность
При запуске червь внедряет свой код в адресное пространство одного из запущенных системных процессов "svchost.exe". Внедренный код выполняет основной деструктивный функционал червя:
• отключает службу восстановления системы;
• блокирует доступ к адресам, содержащим следующие строки:

Также червь скачивает файл по следующей ссылке:

Скачанный файл сохраняется в системный каталог Windows (%System%

Системный каталог ОС Windows (обычно, C:\Windows\System32)

) с оригинальным именем и запускается на выполнение. На момент создания описания указанная ссылка не работала.

Также червь может скачивать файлы по ссылкам вида:

Текущую дату червь запрашивает с одного из следующих сайтов:

Скачанные файлы сохраняются в системный каталог Windows (%System%

Системный каталог ОС Windows (обычно, C:\Windows\System32)

) с оригинальными именами.

Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления воспользуйтесь специальной утилитой и рекомендациями по удалению, которые можно скачать по следующей ссылке:

либо выполните следующие действия:
1. Удалить ключ системного реестра:

2. Удалить строку "%System%

Системный каталог ОС Windows (обычно, C:\Windows\System32)

\<rnd>.dll" из значения следующего параметра ключа реестра:

3. Перезагрузить компьютер
4. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Удалить файл:

6. Удалить следующие файлы со всех съемных носителей:

7. Скачать и установить обновление операционной системы по следующей ссылке:

8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).