Antivirus - Windows uden sikker tilstand

Den klangfulde Sigougou -orm foretager mange ændringer i Windows, hvilket gør det meget sværere at antivirus.

A Sigougou en orm kaldet sbsb.exe kan placeres på systemer. Så snart den starter, ændrer den registreringsdatabasen. I den opretter, ændrer og sletter den nøgler og værdier. Dette forhindrer blandt andet Windows Task Manager i at starte, slukke for Windows Update og ikke ved et uheld starte operativsystemet i fejlsikret tilstand og muligvis forsøge med antivirusbeskyttelse.

Sigougou spredes primært gennem netværksdrev og aktier. Du prøver foruddefinerede adgangskoder for at oprette forbindelse til eksterne computere. Et andet vigtigt træk ved ormen er, at den jævnligt downloader ondsindede filer fra Internettet.

Når Sigougou -ormen starter, udfører den følgende handlinger:

1. Opret følgende filer:
   % System% \ sbsb.exe
   % SystemDrive% \ sbsb.exe
2. Opret følgende post i registreringsdatabasen:
   HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run \
   "Sbsb" = "% System% \ sbsb.exe"
3. Rediger følgende værdier i registreringsdatabasen:
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \
   System ”DisableTaskMgr” = “01, 00, 00, 00”
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \
   System ”DisableWindowsUpdateAccess” = “01, 00, 00, 00”
   Dette gør Windows Task Manager utilgængelig og deaktiverer Windows Update.
4. Du foretager en række ændringer i følgende registreringsnøgle:
   HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \
   Indstillinger for udførelse af billedfiler \
5. Følgende poster slettes fra registreringsdatabasen:
   HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Control \ SafeBoot \ Minimal \
   {4D36E967-E325-11CE-BFC1-08002BE10318}”(default)” = “DiskDrive”
   HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Control \ SafeBoot \ Network \
   {4D36E967-E325-11CE-BFC1-08002BE10318}”(default)” = “DiskDrive”
   HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SafeBoot \ Minimal \
   {4D36E967-E325-11CE-BFC1-08002BE10318}”(default)” = “DiskDrive”
   HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SafeBoot \ Network \
   {4D36E967-E325-11CE-BFC1-08002BE10318}”(default)” = “DiskDrive”
   Dette forhindrer Windows i at starte i fejlsikret tilstand.
6. Det kopierer sine egne filer til hvert lokalt og netværksdrev. Du prøver at oprette forbindelse til netværksdelinger ved at prøve foruddefinerede adgangskoder.
7. Kopierer en fil med navnet AutoRun.inf til rodmappen på hvert drev.
8. Det downloader forskellige filer over internettet.