P2P-Worm.Win32.Franvir

P2P-Worm.Win32.Franvir («Лаборатория Касперского») также известен как: Worm.P2P.Franvir («Лаборатория Касперского»), W32/Franriv.worm (McAfee), Franvir.Worm (Symantec), W32/Franriv-A (Sophos), WORM_FRANRIV.A (Trend Micro), Win32:Trojan-gen. (ALWIL), Win32.P2P.Franvir.A@mm (SOFTWIN), Worm Generic (Panda), Win32/Franvir.A (Eset)

Вирус-червь, распространяющийся через интернет по сетям файлообмена. Червь является приложением Windows (PE EXE-файл) и имеет размер около 1274 КБ.

При инсталляции червь копирует себя в корневой каталог Windows с именем microsoftscanreg.exe:

  %Windir%\microsoftscanreg.exe

После чего регистрирует себя в ключе автозагрузки системного реестра:

  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "Microsoft Scanreg"="%Windir%\microsoftscanreg.exe"

Размножение через P2P

Червь проверяет наличие установленного на машине P2P-клиента Kazaa и создает следующий каталог:

  
  %Windir%\scanregfile\kazaa\My Shared Folder

После чего червь копирует себя в данный каталог со следующими именами:

  
  Age Of Mythology FR CRACK.exe
  Alcatraz Fr Crack.exe
  Allopass + audiotel Keygen 2003.exe
  Arx Fatalis FR CRACK.exe
  Battlefield 1942 FR Crack.exe
  Clone CD 5 keygen.exe
  Delphi 5 fr crack keygen.exe
  Delphi 6 fr crack keygen.exe
  Delphi 7 fr crack keygen.exe
  Dreamweaver MX keygen + crack by orran.exe
  Fire-Works MX keygen + crack by orran.exe
  Flash MX keygen + crack by orran.exe
  Madden NFL 2003 FR CRACK.exe
  Mafia Fr Nocd.exe
  Medieval Total War Fr Crack.exe
  Mega-Serial Microsoft Macromedia Borland Photoshop.exe
  Nero FR 6 keygen + crack.exe
  No One Lives Forever 2 FR CRACK.exe
  Office XP fr Activation crack keygen.exe
  Photoshop FR 7 keygen + crack by orran.exe
  Sim City 4 FR Crack by zorio.exe
  Unreal 2003 Fr Nocd.exe
  Visual Basic fr 6.00 crack keygen.exe
  Visual fr c++ crack keygen.exe
  Visual.net fr Activation keygen crack.exe
  Winace fr 4 keygen crack.exe
  Windows XP Activation fr home Pro keygen 2003.exe
  Windows XP fr home et pro SP1 crack.exe
  Winrar fr 3.X keygen.exe
  Winzip fr 8.X keygen crack.exe

Червь изменяет настройки Kazaa в системном реестре таким образом, чтобы установленные по умолчанию расшаренные ресурсы включали в себя и созданную червем папку:

  
  [HKCU\Software\Kazaa\LocalContent]
   "DownloadDir"="%Windir%\scanregfile\kazaa\My Shared Folder"

После чего зараженные файлы будут доступны другим пользователям клиента Kazaa.