Un ver de la famille de W32.HLLW.Gaobot.gen fait généralement ce qui suit:
Copies elle-même à la chemise de %System%. Les noms de dossier changent, et sont souvent choisis de ressembler aux noms des dossiers de système légitimes de Windows. Quelques exemples incluent Csrrs.exe, Scvhost.exe, et System.exe.
--------------------------------------------------------------------------------
Note: %System% est une variable. Le ver localise la chemise de système et se copie à cet endroit. Par défaut, c'est C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), ou C:\Windows\System32 (Windows XP).
--------------------------------------------------------------------------------
Ajoute une valeur sous la forme
" < nom principal >" = "< le nom de fichier du ver > "
par exemple:
"Chargeur De Configuration" = "Service.exe"
aux clefs d'enregistrement:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \
RunServices
de sorte que le ver fonctionne quand vous commencez Windows.
Peut créer une clef d'enregistrement:
Nom de HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<service >
et ajoutez une valeur sous la forme:
< le nom principal > = le "nom de fichier de %System%\<the du ver >" - service
Par exemple:
service de chargeur "= de" %System%\Service.exe "de" configuration -
de sorte que le ver commence comme service quand Windows commence. Les valeurs typiques pour le < nom de service > sont x4 ou a3, mais pourraient être configurées à n'importe quelle valeur. < le nom principal > sera identique au nom utilisé pour la clef dans l'étape 2.
Se relie à un serveur d'cIrc, en utilisant son propre client d'cIrc, et puis écoute pour que les commandes fassent n'importe lequel de ce qui suit:
Téléchargez et exécutez les dossiers
Volez l'information de système
Envoyez le ver à d'autres utilisateurs d'cIrc
Ajoutez les nouveaux comptes
Exécutez le démenti des attaques du service (DOS)
Envoie des données sur le port 135 de TCP pour exploiter la vulnérabilité de RPC de DCOM, décrite dans le bulletin Ms03-026 de sécurité de Microsoft .
Les tentatives de se relier au réseau suivant partage:
admin$
d$
e$
print$
en utilisant des combinaisons facilement devinées d'username/password, y compris des mots de passe vides.
Lisez la description de W32.HLLW.Gaobot.AA pour une liste témoin de noms et de mots de passe d'utilisateur.
Copies elle-même à tous ordinateurs qu'elle a compromis en utilisant les exploits précédemment mentionnées.
Programme à distance une tâche de courir le ver sur un ordinateur nouvellement infecté.
Questionne l'enregistrement pour voler des clefs CD de divers jeux.
Termine le logiciel d'antivirus et de mur à l'épreuve du feu, aussi bien que les noms de processus liés à d'autres vers.
suite
C:\WINDOWS\regedit.exe
attenttion ===>>>C:\WINDOWS\system32\service(s).exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \
RunServices
Edition>NOUVEAU>Valeur chaîne "clic"
nom de la Valeur: services
Données de la Valeur: C:\WINDOWS\system32\services.exe
----------------------------------------------------------------------------
suite
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<services>
Edition>NOUVEAU>Valeur chaîne "clic"
nom de la Valeur: services
Données de la Valeur: C:\WINDOWS\system32\services.exe
merci moi je sais
nom: szymanski
prènom: jonathan
âge : 20 ans
ville : divion
/symaski62
@++++++
Cle usb 32 go pas de ntfs
