Все что нашел ранее в инете - расчитано на ламеров, которые ничего не смыслят в компьютерах.
Win32Conficker.AA
Другие названия
Trojan.Win32.Agent.bbof (Kaspersky)
W32.Downadup.B (Symantec)
WW32/Conficker.worm.gen.a (McAfee)
Тип проникновения
Червь (Worm)
Размер файла
157130 байт
Подверженные заражению платформы
Microsoft Windows
Версия базы вирусных сигнатур
3730 (20090101)
Для удаления вируса вам необходимо скачать утилиту и установить обновления Microsoft для вашей операционной системы.
Описание
Win32/Conficker.A - червь, использующий уязвимость в Server Service, распространяется через папки общего доступа и внешние носители.
Инсталляция
Во время исполнения вирус копирует себя в директории, используя следующее имя: %variable%.dll , где %variable% - произвольные символы.
%system%
%program files%\Internet Explorer
%program files%\Movie Maker
%appdata%
%temp%
Библиотека %variable%.dll загружается и внедряется в следующие процессы:
services.exe
explorer.exe
svchost.exe
Червь регистрируется в системе как системная служба, используя комбинации из следующих слов:
Boot
Center
Config
Driver
Helper
Image
Installer
Manager
Microsoft
Monitor
Network
Security
Server
Shell
Support
System
Task
Time
Universal
Update
Для того чтобы загружаться при каждом запуске системы, вирус изменяет следующие ключи реестра:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"%variable_name%" = "rundll32.exe "%system%\%variable%.dll", %random_string%"
Также создаются следующие ключи:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\%random service name%\Parameters]
"ServiceDll" = "%system%\%variable%.dll"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\%random service name%]
"Image Path" = "%System Root%\system32\svchost.exe -k netsvcs"
"DisplayName" = "random service name%"
"Type" = 32
"Start" = 2
"ErrorControl" = 0
"ObjectName" = "LocalSystem"
"Description" = "%variable_name%"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"TcpNumConnections" = 16777214
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue" = 0
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets]
"gip" = 0
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets]
"gip" = 0A string with variable content is used instead of %random service name% .
Следующие разделы реестра удаляются:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellServiceObjects\
{FD6905CE-952F-41F1-9A6F-135D9C6622CC}]
"wscsvc" = "%filepath%"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender" = "%filepath%"
Эксплуатация уязвимости службы ServerService
Вирус запускает HTTP сервер на случайном порту. Сервер соединяется с удаленными машинами через порт TCP 139, 445 и пытается проникнуть в систему, используя уязвимость в Server Service. Если проникновение проходит успешно, удаленный компьютер подключается к зараженному компьютеру и скачивает копию вируса.
