@wszyscy co kliknęli
Gdy rozpoczęła, Trojan injects jego kod do pamięci procesów, które mają następujące unikalnych identyfikatorów w systemie rejestru:
{BD96C556-65A3-11D0-983A-00C04FC29E30} {BD96C556-65A3-11D0-983A-00C04FC29E36} {AB9BCEDD-EC7E-47E1-9322-D4A210617116} {0006F033-0000-0000-C000-000000000046} {0006F03A-0000-0000-C000-000000000046} {6e32070a-766d-4ee6-879c-dc1fa91d2fc3} {6414512B-B978-451D-A0D8-FCFDF33E833C} {7F5B7F63-F06F-4331-8A26-339E03C0AE3D} {06723E09-F4C2-43c8-8358-09FCD1DB0766} {639F725F-1B2D-4831-A9FD-874847682010} {BA018599-1DB3-44f9-83B4-461454C84BF8} {D0C07D56-7C69-43F1-B4A0-25F5A11FAB19} {E8CCCDDF-CA28-496b-B050-6C07C962476B} (BD96C556-65A3-11D0-983A-00C04FC29E30) (BD96C556-65A3-11D0-983A-00C04FC29E36) (AB9BCEDD-EC7E-47E1-9322-D4A210617116) (0006F033-0000-0000-C000-000000000046) (0006F03A-0000-0000 - C000-000000000046) (6e32070a-766d-4ee6-879c-dc1fa91d2fc3) (6414512B-B978-451D-A0D8-FCFDF33E833C) (7F5B7F63-F06F-4331-8A26-339E03C0AE3D) (06723E09-F4C2-43c8-8358-09FCD1DB0766) ( 639F725F-1B2D-4831-A9FD-874847682010) (BA018599-1DB3-44f9-83B4-461454C84BF8) (D0C07D56-7C69-43F1-B4A0-25F5A11FAB19) (E8CCCDDF-CA28-496b-B050-6C07C962476
Trojan wykorzystuje luki w "WinZip FileView", "QuickTime" i "WebViewFolderIcon" (wszystkie składniki Active X) oraz w Msdds.dll MS Internet Explorer w bibliotece w celu wykonania kodu na losowe maszynie ofiary
Trojan również wykorzystuje lukę w Formant XMLHTTP ActiveX składnika do pobrania pliku z następujących adresów URL:
http://69.228.192.***/file.php http://69.228.192 .***/ file.php
Trojan wykorzystuje luki w ADODB.Stream w części w celu zapisać plik na C: dysku jako "sys. <rnd>. Exe": Ñ: \ sys <rnd>. Exe
Ten plik zostanie również zapisane w katalogu systemu Windows jako "~. Exe": % System% \ ~. Exe
jako "cpu*****": % System% \ cpu*****
Plik zostanie również zapisany do katalogu o jeden poziom wyższy niż w pierwotnym, gdzie znajduje się plik Trojan "tm*****".
Jeśli na komputerze nie ma aktualnych antywirusowego, albo nie mieć rozwiązania antywirusowe na wszystkich, wykonaj poniższe instrukcje, aby usunąć złośliwy program:
1. Usuń oryginalny plik Trojan (lokalizacja będzie zależeć od sposobu, w jaki program pierwotnie wejść do maszyny ofiary).
2. Usuń następujące pliki:
Ñ:\sys<rnd>***** Ñ: \ sys <rnd>. Exe
%System%\~***** % System% \ ~. Exe
%System%\cpu***** % System% \ cpu*****
../tm***** .. / tm*****
3. Zaktualizuj swój antywirusowych baz danych i wykonać pełne skanowanie komputera
błędy są ponieważ cała strona została przetłumaczona