BKDR_NECURS.BGSH

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它开始执行然后再删除。 它注入到所有正在运行的进程以驻留在内存中。

它修改注册表项，禁用Windows防火墙设置。该操作允许该恶意软件任意执行例程，而不会被Windows防火墙检测到。

它连接到网站，发送和接收信息。 However, as of this writing, the said sites are inaccessible.

安装

它植入下列文件/组件：

• %System%\drivers\{random}.sys

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

它在受感染的系统中植入下列自身副本：

• %Application Data%\{random GUID}\syshost.exe - if not logged in as an Administrator
• %Windows%\Installer\{GUID}\syshost.exe - if logged in as an Administrator

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。. %Windows% 是 Windows 文件夹，通常位于 C:\WINDOWS 或 C:\WINNT。)

它创建下列文件夹：

• %Windows%\Installer\{random GUID} - if logged in as an Administrator
• %Application Data%\{random GUID} - if not logged in as an Administrator

(注意: %Windows% 是 Windows 文件夹，通常位于 C:\WINDOWS 或 C:\WINNT。. %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它开始执行然后再删除。

它注入到所有正在运行的进程以驻留在内存中。

自启动技术

它通过添加下列注册表项，注册为系统服务，确保在每次系统启动时自动执行：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\syshost32
ImagePath = ""%Windows%\Installer\{GUID}\syshost.exe" /service"

它创建下列注册表项，以便每次系统启动时自动执行植入的组件:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
syshost32 = %Windows%\Installer\{GUID}\syshost.exe

它通过添加下列注册表键值注册为系统服务，确保在每次系统启动时自动执行:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\syshost32

它将其植入的组件注册为系统服务，确保在每次系统启动时自动执行。它通过创建下列注册项来执行此操作:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

其他系统修改

它修改下列注册表项，禁用Windows防火墙设置：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAcces\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is "1".)

后门例程

它连接到下列网站，发送和接收信息：

• http://{BLOCKED}.{BLOCKED}.81.244
• http://{BLOCKED}.{BLOCKED}.195.245
• http://{BLOCKED}.{BLOCKED}.56.54
• http://{BLOCKED}.{BLOCKED}.31.41

However, as of this writing, the said sites are inaccessible.