WORM_CRILOCK.A

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

安装

它在受感染的系统中植入并执行下列自身副本：

• %System%\msunet.exe

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
MSUpdate = "%System%\msunet.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MSUpdate = "%System%\msunet.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSUpdate = "%System%\msunet.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MSUpdate = "%System%\msunet.exe"

它修改下列条目，允许自己在安全模式下运行：

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %System%\msunet.exe"

(Note: The default value data of the said registry entry is %System%\userinit.exe.)

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer

它添加下列注册表项：

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer
NoDriveTypeAutoRun = "91"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\policies\
Explorer
NoDriveAutoRun = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveAutoRun = "0"

传播

它将自身的下列副本植入所有可移动驱动器：

• {Removable Drive Letter}:\setup.exe
• {Removable Drive Letter}:\{Filename}.exe - if executable files exist