Уязвимые ОС: WinNT-based
Размер: 43,801 байт
Упакован: FSG
- Изначально распространялась посредством спам рассылки с характерными темами:
"NEW Full mpeg4 Veronika Zemanova",
"NEW Stunning video with a naked celebrity Beyonce",
"NEW New sexy songs Salma Hayek",
"Stunning video Carmen Electra",
"Shocking porno dvd Meg Ryan",
"Interesting porno Jennifer Lopez",
"Secrets of Cambridge 'porn' library revealed", "Michael Jakson glued up a person a plaster", "New mp3 Britney Spears",
"Kick-up video Avril Lavigne",
"New video Claudia Schiffer",
"Interesting porno dvd Monica Bellucci",
"Stunning cd Britney Spears"
"Full video with a naked celebrity Liv Tyler"
"Jackie Chan was taken off in a porno - video"
"Harry Potter was purchased by pentkhaus"
"The extramarital son of John Kennedy appeared in Canada"
"A pastor from Florida calls parishioners to have sex every day"
В теле письма содержалась ссылка на скачивание исполняемого файла. - При своём запуске вредоносная программа копирует себя в системный каталог Windows -- %systemroot%\system32\CbEvtSvc.exe
- В инфицированной системе регистрирует себя как сервис для обеспечения своего запуска при каждой загрузке операционной системы:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_CBEVTSVC
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_CBEVTSVC\0000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_CBEVTSVC\0000\Control
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Security
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Enum
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CBEVTSVC\0000\Control
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Security
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum
Создаваемые вредоносной программой ключи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Enum\0: "Root\LEGACY_CBEVTSVC\0000"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Enum\Count: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Enum\NextInstance: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Type: 0x00000010
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\Start: 0x00000002
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\ErrorControl: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\ImagePath: "%SystemRoot%\System32\CbEvtSvc.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\DisplayName: "CbEvtSvc"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CbEvtSvc\ObjectName: "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum\0: "Root\LEGACY_CBEVTSVC\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum\Count: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Enum\NextInstance: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Type: 0x00000010
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\Start: 0x00000002
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\ErrorControl: 0x00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\ImagePath: "%SystemRoot%\System32\CbEvtSvc.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\DisplayName: "CbEvtSvc"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CbEvtSvc\ObjectName: "LocalSystem"
- Скачивает и устанавливает на инфицированный компьютер другие вредоносные программы.
1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
2. С заведомо неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированный компьютер Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".