Worm.Win32.Huhk.g

Технические детали

Червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является приложением Windows (PE-EXE файл). Размер варьируется в зависимости от размера зараженного файла. Написан на С++.

Инсталляция

После запуска вредонос находит файл:

и перемещает его в каталог временного хранения файлов с именем:

%Temp%\er.exe

Затем червь открывает файл: сбрасывает все атрибуты файла, заражает его, восстанавливает прежние атрибуты и время создания, а затем копирует в каталог Windows с его оригинальным именем: Размеры зараженного и оригинального файлов "explorer.exe" одинаковы.

Распространение

Далее, если запускается зараженный "explorer.exe" – вредонос создает 3 потока, в которых выполняет следующие деструктивные действия:

• Устанавливает системный перехватчик API функции "CreateProcess()"в процессе "explorer.exe";
• Устанавливает системный перехватчик API функции "Connect()", во все процессы, кроме процессов со следующими именами:

  readbook.exe
  qq.exe
  icesword.exe
  aspack.exe 
  iris.exe
  iexplore.exe
  navapw32.exe
  navapsvc.exe 
  nmain.exe 
  navw32.exe
  kvfw.exe
  kavsvcui.exe
  kavpfw.exe
  kav32.exe
  kvxp.kvxp.kxp
  kvsrvxp.exe
  kvmonxp.kxp
  kvwsc.exe 
  kavsvc.exe
  kwatchui.exe 
  ravmond.exe
  ravmon.exe
  ravtimer.exe
  rising.exe
  rav.exe
  ravmon.exe
  ravtimer.exe
  iparmor.exe
  trojanhunter.exe
  thguard.exe<
  pfw.exe< 
  eghost.exe 
  mailmon.exe
  firefox.exe
  

• С 5 минутным интервалом, выполняет поиск съемных дисков от "Z:" до "D:", после чего рекурсивно ищет во всех каталогах файлы с расширением "exe" и в зависимости от кода данных исполняемых файлов, заражает их.
• Выполняет поиск сетевых дисков и в случае обнаружения – создает новый сетевой диск, который является копией существующего, выполняет рекурсивный поиск "exe" файлов по всем каталогам и производит заражение. После этого, созданный червем сетевой диск, отключается.

Деструктивная активность

После срабатывания первого перехватчика, червь выполняет заражение запускаемого файла. Червь не заражает файлы с именами:

readbook.exe
qq.exe
icesword.exe
aspack.exe
iris.exe
iexplore.exe 
navapw32.exe 
navapsvc.exe 
nmain.exe
navw32.exe
kvfw.exe
kavsvcui.exe
kavpfw.exe
kav32.exe
kvxp.kvxp.kxp 
kvsrvxp.exe 
kvmonxp.kxp 
kvwsc.exe 
kavsvc.exe 
kwatchui.exe 
ravmond.exe 
ravmon.exe
ravtimer.exe 
rising.exe 
rav.exe 
ravmon.exe
ravtimer.exe
iparmor.exe 
trojanhunter.exe
thguard.exe
pfw.exe 
eghost.exe 
mailmon.exe
firefox.exe