Worm.Win32. Viking.hb

Сетевой червь. Распространяется через доступные сетевые ресурсы.

Сетевой червь. Распространяется через доступные сетевые ресурсы. Является приложением Windows (PE EXE-файл). Имеет размер 67174 байта.

Инсталляция

После запуска программа копирует себя в корневой каталог Windows:

 
 %WinDir%\Logo1_.exe
 %WinDir%\uninstall\rundl132.exe

Для автоматической загрузки при каждом последующем старте системы червь добавляет ссылку на собственный исполняемый файл в ключ автозапуска системного реестра:

 [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 "load" = "%WinDir%\uninstall\rundl132.exe"
 

Также в корневом каталоге Windows создаётся файл размером 31116 байт, имеющий имя «RichDll.dll»:

 %WinDir%\RichDll.dll
 

Червь генерирует ключ реестра, в котором хранит свои настройки:

 [HKLM\SOFTWARE\Soft\DownloadWWW]
 

Распространение через локальную сеть

Вирус копирует свое тело во все папки, содержащие файлы с расширением .exe — на все разделы жесткого диска, начиная с последнего, а также на доступные для записи сетевые папки.

Деструктивная активность

Червь ищет в системе и завершает процессы со следующими именами:

 
 EGHOST.EXE
 MAILMON.EXE
 KAVPFW.EXE
 IPARMOR.EXE
 Ravmond.EXE
 regsvc.exe
 RavMon.exe
 mcshield.exe
 KVMONXP.KXP
 KRegEx.exe
 KVXP.KXP
 

Производится остановка службы «Kingsoft AntiVirus Service».

Вредоносная программа разыскивает в системе процесс avp.exe. Если находит, выполняет следующие действия:

* устанавливает уровень громкости звука на минимум, чтобы не было слышно звуковых предупреждений антивирусной программы;

* ищет в системе окно с именем класса «AVP.AlertDialog» и имитирует в нем нажатие на кнопку «Разрешить».

Червь следит за активностью пользователя в окнах следующих приложений:

 
 lineage.exe
 Mir.exe
 Archlord.exe
 LineageII.exe
 Ragnarok.exe
 GameClient.exe
 

Параметры учетных записей для подключения к серверам данных игр похищаются.

Собранную информацию червь отправляет на электронную почту злоумышленника.

Также вирус скачивает из сети Интернет программы по ссылкам:

 
 http://*****ifafksajof.43242.com/gua/gua1.exe
 http://*****ifafksajof.43242.com/gua/gua2.exe
 http://*****ifafksajof.43242.com/gua/gua3.exe
 http://*****ifafksajof.43242.com/gua/gua4.exe
 http://*****ifafksajof.43242.com/gua/gua5.exe
 http://*****ifafksajof.43242.com/gua/gua6.exe
 http://*****ifafksajof.43242.com/gua/gua7.exe
 http://*****ifafksajof.43242.com/gua/gua8.exe
 

После успешной загрузки файлы запускаются на исполнение.

(На момент создания описания данные ссылки не работали.)