Распространение вируса осуществляется несколькими способами:
- с использованием уязвимостей ОС (предотвращается инсталляцией бюллетеней безпасности Microsoft)
- посредством выполнения сетевого входа на рабочую станцию, используя учетные данные пользователя, совершившего интерактивный вход.
При растространении на рабочую станцию копируется файл, имеющий случайное имя и формируется назначенное задание с целью запуска Rundll32.exe со скопированным файлом. При исполнении задания останавливаются процессы svchost и запускается собственная служба от имени system.
Характерными признаками наличия данного вируса может быть
1. обнаружение антивирусным ПО зараженных файлов
- %все папки общего доступа% \RECYCLER\S-%Число%\%случайная буквенная комбинация%.vmx
- %ProgramFiles%\Internet Explorer\%случайная буквенная комбинация%.dll
- %ProgramFiles%\Movie Maker\%случайная буквенная комбинация%.dll
- %System%\%случайная буквенная комбинация%.dll
- %Temp%\%случайная буквенная комбинация%.dll
- %ALLUSERSPROFILE%\Application Data\%случайная буквенная комбинация%.dll
2. остановка служб:
- server
- workstation\
и отсутствие возможности их запуска.
- отсутствие звука системы и вообще
- Блокировка обновления ВСЕХ популярных антивирусников, так же захода на их странички!
- Частый ребут
3. наличие в системе назначенных задний формата At1.job, At2.job,..
Также вредоносное ПО может модифицировать ряд веток реестра, что может повлечь за собой некорректную работу ряда сервисов.
После успешной установки себя в качестве службы вирус предпринимает попытки дальнейшего растространения, а также пытается подобрать пароли к учетным записям. Учетные записи перебираются по очереди, для каждой из них используется статичный набор простых паролей (порядка 100).
Вирус написан на MS Visual C++.

С целью снижения вероятности заражения необходимо инсталлировать на рабочих станциях пакеты обновления (бюллетени безопасности Microsoft MS08-067 и MS09-001)
При подозрении заражения необходимо:
- запустить утилиту McAfee Stinger
- проверить наличие указанных пакетов обновления, при отсутствии – инсталлировать
- Далее запустить kidokiller.

Скачать:
Доступно только для пользователей