WORM_LUDER.USR

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它通过将受感染的移动驱动器与系统连接起来而入侵。

它植入AUTORUN.INF文件，当用户访问受感染系统的驱动器时，自动执行植入的副本。

新病毒详细信息

它通过将受感染的移动驱动器与系统连接起来而入侵。

安装

它在受感染的系统中植入并执行下列自身副本：

• %System%\install\server.exe

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

它植入下列组件文件：

• %Application Data%\logs.dat
• %User Temp%\XX--XX--XX.TXT
• %User Temp%\UuU.uUu
• %User Temp%\XxX.xXx

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。. %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它创建下列文件夹：

• %System%\install

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

它添加下列互斥条目，确保一次只会运行一个副本：

• _x_X_UPDATE_X_x_
• _x_X_PASSWORDLIST_X_x_
• _x_X_BLOCKMOUSE_X_x_
• ***MUTEX***
• ***MUTEX***_PERSIST

它通过向下列进程中注入代码来驻留在内存中：

• explorer.exe
• iexplore.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Policies = "%System%\install\server.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Policies = "%System%\install\server.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HKLM = "%System%\install\server.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HKCU = "%System%\install\server.exe"

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\vítima

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{08B0E5JF-4FCB-11CF-AAA5-00401C6XX500}

它添加下列注册表项作为安装例程的一部分：

HKEY_CURRENT_USER\Software\vítima
FirstExecution = "{current date and time with this format: dd/mm/yyy -- hh:mm}"

HKEY_CURRENT_USER\Software\vítima
NewIdentification = "vítima"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{08B0E5JF-4FCB-11CF-AAA5-00401C6XX500}
StubPath = "%System%\install\server.exe"

传播

它在所有移动驱动器中创建下列文件夹:

• {removable drive letter}:\RECYCLER
• {removable drive letter}:\RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013

它将自身的下列副本植入所有可移动驱动器：

• {removable drive letter}:\RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\server.exe

它植入AUTORUN.INF文件，当用户访问受感染系统的驱动器时，自动执行植入的副本。

上述的 .INF 檔案含有下列字串：

[autorun]
;open=RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\server.exe
icon=shell32.dll,4
shellexecute=RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\server.exe
label=PENDRIVE
action=Open folder to view files
shell\Open=Open
shell\Open\command=RECYCLER\S-1-5-21-1482476501-3352491937-682996330-1013\server.exe
shell\Open\Default=1

信息窃取

它收集下列数据:

• sensitive information such as account names, email addresses and passwords by monitoring web activities and logging keystrokes

窃取信息

它通过 HTTP POST 将收集的信息发送到下列 URL：

• {BLOCKED}-200-41.{BLOCKED}ol.com.br