RAR файловете са заразени от червея Tigape
Tigape, който се разпространява чрез имейли. Червеят се опитва предимно да се скрие зад RAR файлове и обезоръжава софтуера за защита на заразените компютри.
Tigape, червей се разпространява предимно чрез имейли. Необходимите имейл адреси се събират от адресната книга на Windows. Червеят създава редица файлове на наличните локални и мрежови устройства и през повечето време се маскира като .rar файлове.
Най-голямата заплаха за Tigape.A червей е, че деактивира софтуера за защита, работещ на заразени компютри, включително антивирусни приложения и защитни стени. Червеят не щади вградената защитна стена на Windows, тъй като той също се опитва да я изключи, като модифицира системния регистър.
Когато червеят Tigape.A стартира, той изпълнява следните действия:
1. Създайте файл, както следва:
% System% \ wservice.exe
2. Копирайте се на всяко налично локално или мрежово устройство. Червеят използва разширение „.t“ и име на файл с осем знака.
3. Създайте rar файл с имена на файлове от седем произволно генерирани знака на всяко налично локално или мрежово устройство.
4. Създайте следния файл:
% CurrentFolder% \ [седем произволни знака] .exe
5. Базата данни за регистрация
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentV ersion \ Run
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVe rsion \ Run
добавя към вашите ключове
“UpdateService” = “% System% \ wservice.exe ...”.
6. Базата данни за регистрация
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S haredAccess
добавя към вашия ключ
„Старт“ = „4“ стойност.
Това деактивира вградената защитна стена на Windows.
7. Съберете имейл адреси от адресната книга на Windows и ги препратете до тях.
Обектът на заразените листа може да бъде:
Новини от Белия дом!
URG
ВНИМАНИЕ НА ВСИЧКИ!
ПРОЧЕТЕТЕ И ВЪЗПРОСТРАНЕТЕ КАК СЕГА!
Невероятни новини!
НОВИНИ!
На вниманието на
СПЕШНИ НОВИНИ!
Прикачените имейли могат да имат един от следните файлове:
open.exe
true.exe
war.exe
last.exe
за мен.exe
a.exe
никога.exe
последните новини.exe
прочетете me.exe
8. Спира процесите, свързани със софтуера за защита.
