Тип вируса: Червь
Уязвимые ОС: Win95/98/Me/NT/2000/XP/2003
Размер: 192 512 байт
Упакован: UPX
- При запуске создаёт копию исходного файла в системном каталоге Windows: %WINDIR%\system32\mshost.exe.
- Для обеспечения запуска созданной копии при каждом старте Windows, в зависимости от типа Windows, регистрирует её как системную службу с отображаемым именем Portable Media Serial Number Service (WmdmPmSN) (для Win NT-based) или в файле win.ini, путём добавления параметра run=C:\WINDOWS\system32\mshost.exe (для Win9x/Me).
- На обнаруженных сменных носителях создает свою копию и файл autorun.inf. Имя файла-носителя может быть следующим:
Content.exe
ShellStart.exe
OpenShell.exe
AutoRun.exe
AutoPlay.exe
AutoFlash.exe
- Ищет на дисках каталог Documents and Settings\All Users\Главное меню\Программы\Автозагрузка и создает там копию исходного файла. Имя файла может быть одним из тех, которые указаны в списке выше.
- Определяет версию Windows по системным файлам на дисках и осуществляет попытки зарегистрировать свою копию в файле win.ini в параметр run с именем smhost.exe.
- При инфицировании системы устанавливает создаваемым копиям дату создания больше текущей на случайное число дней (от 30 до 90). Это будет время срабатывания его деструктивной функции.
- При наступлении установленной даты осуществляет поиск на всех дисках файлов с расширениями:
.asc
.doc
.rar
.zip
.cab
.ace
.arj
.jar
.dot
.xl
.xlt
.xll
.xlk
.xls
.xla
.xml
.csv
.txt
.tab
.mdb
.mda
.mde
.mdw
.adp
.ade
.dbf
.db
.dat
.data
.odc
.udl
.dsn
.sql
.bakи, при обнаружении таковых, удаляет, предварительно перезаписав их следующим текстом:
Скупой платит дважды, а вы трижды!
Скупой платит дважды, а вы трижды!
Скупой платит дважды, а вы трижды!
Затем записывает по 64 Kбайт случайных данных в начало каждого диска.
1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
2. С заведома неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированный компьютер Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".
