Jest to wirus infekujący pliki wykonywane systemu MS Windows. Ma postać pliku PE EXE o rozmiarze 17 920 bajtów.

Instalacja

Po uruchomieniu wirus kopiuje swój plik wykonywalny do foldera systemu Windows:

%System%ole16.dll

i modyfikuje wartości w następujących kluczach rejestru:

[HKCRCLSID{00021401-0000-0000-C000-000000000046InProcServer32]
@ = "ole16.dll"
ThreadingModel = "both"

[HKLMSOFTWAREClassesCLSID{00021401-0000-0000-C000-000000000046}InProcServer32]
@ = "ole16.dll"
ThreadingModel = "both"

Funkcje wirusa

Wirus infekuje pliki posiadające rozszerzenie .exe znajdujące się na losowo wybranej partycji. Szkodnik nie infekuje plików zapisanych w folderach, których nazwy zawierają jeden z poniższych tekstów:

program files
documents and
_restore
music

Podczas infekowania pliku wirus pakuje jego oryginalną zawartość do archiwum CAB. Następnie szkodnik zapisuje własny kod na początku atakowanego pliku przesuwając jego oryginalną zawartość (w archiwum CAB) na koniec.

Po uruchomieniu zainfekowanego pliku kod wirusa jest zapisywany w folderze tymczasowym systemu Windows z tymczasowÄ… nazwÄ… i rozszerzeniem DLL.

Szkodnik wypakowuje ze swojego kodu jeszcze jeden plik DLL o rozmiarze 7 168 bajtów i zapisuje go w folderze tymczasowym z tymczasową nazwą. Plik ten śledzi wszystkie okna na pulpicie i wstrzykuje kod wirusa do procesów związanych z tymi oknami.

Kod wstrzyknięty do procesów tworzy zrzuty ekranów aktywnych okien, szyfruje je i publikuje na stronie x***e.ru.

Usuwanie szkodnika z zainfekowanego systemu

W celu usunięcia szkodnika z zainfekowanego systemu należy wykonać następujące operacje:

1. Usunąć następujący plik:

   %System%ole16.dll
   

2. Przywrócić poprawną zawartość następujących kluczy rejestru:

   [HKCRCLSID{00021401-0000-0000-C000-000000000046}InProcServer32]
   @="shell32.dll"
   ThreadingModel="Apartment"

   [HKLMSOFTWAREClassesCLSID{00021401-0000-0000-C000-000000000046}InProcServer32]
   @="shell32.dll"
   ThreadingModel="Apartment"

3. Usunąć wszystkie pliki z foldera %Temp%.
4. Uaktualnić sygnatury zagrożeń i wykonać pełne skanowanie komputera (w tym celu można skorzystać z darmowej wersji testowej oprogramowania Kaspersky Anti-Virus)