Antivirus oponaša crv Phoney.A

Crv Phoney.A širi se prvenstveno mrežnim dijeljenjima i pokušava obmanuti korisnike lažnim antivirusnim porukama.

Crv Phoney.A kopira vlastite datoteke u dijeljeni direktorij na svakoj mreži, a također osigurava da se automatski pokreće kada se montiraju. Crv unosi brojne promjene u registar. Značajno slabe zaštitu računala i čine alate kao što su Registry Editor ili Task Manager nepristupačni.

Crv Phoney.A prikazuje lažni, ali vrlo varljivi prozor Norton AntiVirus, a zatim osigurava da se može učitati čak i ako se Windows pokrene u sigurnom načinu. Još jedna neugodna i nezgodna značajka zlonamjernog softvera jest da zaraženo računalo ponovno pokreće svakih pola sata.

Kada se crv Phoney.A pokrene, on izvršava sljedeće radnje:

1. Stvorite sljedeće datoteke:
C: \ Documents and Settings \ All Users \ Start Menu \ Programs \ Startup \ Empty.pif
% Windir% \ Autorun.inf
% Sustav% \ web.exe
% Windir% \ winxp.exe
% CurrentFolder% \ [naziv direktorija] .exe

2. Stvorite sljedeće datoteke u korijenskom direktoriju svakog montiranog pogona:
AUTORUN.INF
microsoft.exe

3. Dodajte sljedeće unose u bazu podataka za registraciju:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion\Run”Bron” = “%Windir%\winxp.exe”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”Rontok” = “Explorer.exe “%Windir%\winxp.exe””
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”Userinit” = “%System%\userinit.exe, %Windir%\winxp.exe”

4. Dodajte sljedeće unose u bazu podataka za registraciju:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Policies\Explorer”NoFolderOptions” = “1”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Policies\System”DisableRegistryTools” = “1”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Policies\System”DisableTaskMgr” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced”Hidden” = “4”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced”HideFileExt” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced”ShowSuperHidden” = “0”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer”NoClose” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer”NoDesktop” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer”Nofolderoptions” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network”NoNetSetup” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System”DisableCMD” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System”DisableRegistryTools” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System”DisableTaskMgr” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System”NoDispCPL” = “1”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp”Onemogući = “4”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug”Auto” = “”1″”
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore”DisableConfig” = “1”
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore”DisableSR” = “1”
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows \Installer”DisableMSI” = “1”
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows \Installer”LimitSystemRestoreCheckpointing” = “1”
HKEY_CLASSES_ROOT\batfile\shell\open\command”(zadana vrijednost)” = “”%System%\web.exe” “%1″ %*”
HKEY_CLASSES_ROOT\comfile\shell\open\command”(zadana vrijednost)” = “”%System%\web.exe” “%1″ %*”
HKEY_CLASSES_ROOT\exefile”(zadana vrijednost)” = “Mapa datoteke” = “”%System%\web.exe” “%1″ %*”
HKEY_CLASSES_ROOT\lnkfile\shell\open\command”(zadana vrijednost)” = “”%System%\web.exe” “%1″ %*”
HKEY_CLASSES_ROOT\piffile\shell\open\command”(zadana vrijednost)” = “”%System%\web.exe” “%1″ %*”

5. Izmijenite registar tako da se učitava kada pokrenete Windows u sigurnom načinu, kako slijedi:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Sa feBoot”AlternateShell” = “%System%\web.exe”

6. Ponovno pokrenite računalo svakih pola sata.

7. Prikazuje lažni okvir za poruke Norton AntiVirus.

8. Zatvorite prozore koji u naslovnoj traci sadrže određene riječi.