Email-Worm.Win32. Warezov.nd

Вирус-червь. Является приложением Windows (PE EXE-файл).

Вирус-червь. Является приложением Windows (PE EXE-файл). Имеет размер 90304 байта. Упакован с помощью Upack, распакованный размер — около 237 КБ.

Инсталляция

При запуске червь создает следуюшие файлы:

%System%\shfoxpob.dat
%System%\shfoxpob.exe
%System%\shfoxpob.dll

Также вирус генерирует ключ в системном реестре:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\shfoxpob]
"DllName" = "%System%\shfoxpob.dll"
"Startup" = "WlxStartupEvent"
"Shutdown" = "WlxShutdownEvent"
"Impersonate" = dword:00000000
"Asynchronous" = dword:00000000

Распространение

Данный червь распространяется при помощи рассылки ICQ-сообщений.

Сообщения включают текст «Check this::», после которого следует URL:

http://******adfesunkawunsa.com/1/853/

После открытия данной ссылки в веб-браузере пользователю предлагается скачать и запустить на исполнение файл с именем «archive.exe», являющийся последней модификацией данного семейства червей.

Деструктивная активность

Вирус отключает различное антивирусное программное обеспечение, установленное на компьютере (в том числе межсетевые экраны).

Также червь имеет функцию загрузки с сайтов злоумышленника других вредоносных программ и последующего запуска скачанных файлов на исполнение.