Появи се Gavir.A

Panda Software съобщава за появяването Gavir.A. Gavir.A е червей, който изтегля и стартира троянския кон Trojan Legmir.BM на заразения компютър.

Gavir.A се разпространява по споделените мрежови ресурси, тъй като прави опити да се копира в споделените ресурси IPC$ и ADMIN$.

Gavir.A трудно се разпознава, тъй като не показва никакво съобщение или предупреждение, когато е достигнал компютъра.

Стратегия на заразяване:

Gavir.A създава следните файлове:

– Свое копие в директорията на Windows.
– Скрипт във временната директория, който се изтрива заедно с червея, когато Gavir.A се е изпълнил.
– Изпълним файл в същата директория, в която Gavir.A е стартиран. Името на файла е същото като това на червея, но има добавено и EXE разширение.

Gavir.A създава следните входове в Windows Registry:

HKEY_LOCAL_MACHINE\ Soft\ DownloadWWW
auto = 1
Gavir.A създава това вписване, само ако е успял в изтеглянето на троянския кон.

Начин на предаване:

При разпространяването си в споделените мрежови ресурси Gavir.A прави следното:

– Проверява дали заразеният компютър е включен в мрежа.
– Ако е така, Gavir.A прави опити да се копира в споделените мрежови ресурси IPC$ и ADMIN$. За да получи достъп до ресурсите, Gavir.A използва или празна парола, или същата, която използва заразеният компютър.
– Ако процесът е успешен, Gavir.A програмира задача, като използва Task Scheduler, за да стартира своето копие, което е създал в отдалечения компютър.

Допълнителни детайли:

Gavir.A е написан на програмен език Delphi. Големината му е 851,456 байта.

Gavir.A създава mutex SemaphoreMe , за да бъде сигурен, че във всеки определен момент ще има активно само по едно негово копие.

Източник: Antivirus.bg