Xirtam.A ormen angriber fra flytbar opbevaring

Xirtam.A-ormen spredes primært som e-mail-vedhæftede filer, men kan også inficere via netværksdrev og flytbare medier.

Xirtam.A opretter en masse filer på inficerede computere og forsøger at uploade dem til drev, der har flytbar lagring bag sig. Det kopierer også en autorun.inf -fil til disse, hvilket sikrer, at ormen starter automatisk.

Xirtam.A indsamler de e -mailadresser, der er nødvendige for at sprede sig fra .htm -filer, og videresender sig til dem. Det kortlægger derefter netværksdrevene.

Når Xirtam.A -ormen starter, udfører den følgende handlinger:

1. Opret følgende filer:
% UserProfile% \ Local Settings \ Temp \ Reply.exe
% UserProfile% \ Local Settings \ Temp \ spoolsv.tme
% UserProfile% \ Local Settings \ Temp \ taskmgr.txt
% UserProfile% \ spoolsv.exe
% Windir% \ Matrix.scr
A: \ Recycled.exe
E: \ Recycled.exe
E: \ Secret \ Nice Sex.exe
E: \ Autorun.inf
F: \ Recycled.exe
F: \ Fuck \ Nice Sex.exe
F: \ Autorun.inf
G: \ Recycled.exe
G: \ 911 Death \ 911.exe
G: \ Autorun.inf
H: \ Recycled.exe
H: \ VDO \ Nice Sex.exe
H: \ Autorun.inf
I: \ Recycled.exe
I: \ Data Fair \ Nice Sex.exe
I: \ Autorun.inf
J: \ Recycled.exe
J: \ Nice Sex.exe
J: \ Autorun.inf

2. Registreringsdatabasen
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classes \ exefile
føjer til din nøgle
“NeverShowExt” = “” værdi.

3. Registreringsdatabasen
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentV ersion \ policies \ Explorer \ Kør
føjer til din nøgle
“Task” = “% UserProfile% \ spoolsv.exe”.

4. Registreringsdatabasen
HKEY_CURRENT_USER \ Kontrolpanel \ Desktop
føjer til din nøgle
“SCRNSAVE.EXE” = “C: \ WINDOWS \ Matrix.scr”.

5. Registreringsdatabasen
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVe rsion \ Policies \ Explorer \ Run
føjer til din nøgle
“Task” = “% UserProfile% \ spoolsv.exe”.

6. Rediger registreringsdatabasen
HKEY_CURRENT_USER \ Kontrolpanel \ Desktop
inkluderet i nøglen
“ScreenSaveActive” = “1”.

7. Opretter eller ændrer en autorun.inf -fil på flytbart lager, der starter automatisk, når lagringen indsættes.

8. Indsamler e -mail -adresser fra filer med .htm -udvidelser.

9. Videresend dig selv til de indsamlede e -mail -adresser:

Emne for inficerede blade:
Svar DataFolder

Navn på filen vedhæftet den inficerede mailvedhæftning:
Svar.exe

10. Gem listen over netværksdrev i følgende fil:
% UserProfile% \ Local Settings \ Temp \ taskmgr.txt.