WORM_KASIDET.SC

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。它开始执行然后再删除。

安装

它植入下列文件：

• %User Temp%\incl1
• %User Temp%\incl2
• %User Temp%\{random digits 1}
• %User Temp%\{random digits 2}

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它植入和执行下列文件：

• %User Temp%\delself.bat ← used to delete itself

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它在受感染的系统中植入下列自身副本：

• %Application Data%\OWZCEN323F\{random filename}.exe

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它创建下列文件夹：

• %Application Data%\OWZCEN323F
• %Application Data%\OWZCEN323F\logs

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它添加下列互斥条目，确保一次只会运行一个副本：

• OWZCEN323F

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\OWZCEN323F\{random filename}.exe" ← (if user is Admin)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\OWZCEN323F\{random filename}.exe"

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\N3NNetwork

它添加下列注册表项：

HKEY_CURRENT_USER\Software\N3NNetwork
arr = "{base-64 value}"

HKEY_CURRENT_USER\Software\N3NNetwork
rate = "{value}"

HKEY_CURRENT_USER\Software\N3NNetwork
{random digits} = "{value}"

传播

它将自身的下列副本植入所有可移动驱动器：

• {Drive Letter}:\{random filename}.exe

它在共享网络中植入的副本使用下列文件名称：

• PhotoExplorer.exe

它植入AUTORUN.INF文件，当用户访问受感染系统的驱动器时，自动执行植入的副本。

上述的 .INF 檔案含有下列字串：

[autorun]
OPEN={random filename}.exe
action=Run

后门例程

它执行远程恶意用户的下列命令：

• Download and Execute Files (.vbs, .dll)
• Find Files
• Update itself
• Uninstall itself
• Perform Remote Shell
• Visit Specific URL
• Performs DDOS attack
• Spread to Removable drives
• Spread to Network Shares folder:
  • ShareDocs
  • Admin
  • C
  • D
  • E
• Create Schedule Task (pointed to itself)
• Modifies Shortcuts files in Startup Folder (pointed to itself)
• Log Keystrokes
• Copy Clipboard
• Capture screenshots

信息窃取

它收集下列数据:

• OS Version
• Machine GUID
• Installed AV Software