Červ Imaut.B útočí s obnovenou energií

Několik dní po vydání první varianty červa Imaut, která se šíří prostřednictvím rychlých poslů, se objevila novější verze, která také používala některé nové techniky k infikování počítačů.

Červ Imaut.B, stejně jako jeho první varianta, je primárně používán Yahoo! Messenger, AIM, Windows Live Messenger a Windows Messenger se snaží infikovat co nejvíce počítačů. Odesílá zprávy, které také obsahují odkaz na škodlivý web. Pokud uživatel klikne na takový odkaz, červ se okamžitě stáhne do jeho počítače. Poté vytvoříte řadu záznamů v registrační databázi a poté zahájíte přesměrování webových stránek. Červ také neustále monitoruje okna My Computer a Explorer. Imaut.B nakonec znepřístupní Správce úloh systému Windows a registr.

Když se červ Imaut.B spustí, provede následující akce:

1. Vytvořte následující soubor:
% System% \ svchost32.exe

2. Stáhněte soubor z Internetu a uložte jej do adresáře systému Windows jako svhost.exe.

3. Registrační databáze
HKEY_CURRENT_USER \ Software \ Policies \ Microsoft \ Internet Explorer \ Ovládací panely
přidá k vašemu klíči
„Domovská stránka“ = hodnota „1“.

4. Registrační databáze
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVe rsion \ Policies \ System
přidá k vašemu klíči
„DisableTaskMgr“ = „1“
„DisableRegistryTools“ = „1“ hodnoty.

5. Registrační databáze
HKEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ Main
přidá k vašemu klíči
„Start Page“ = „[http: //] tintucso.com/lu [...]“.

6. Registrační databáze
HKEY_CURRENT_USER \ Software \ Yahoo \ pager \ View \ YMSGR_buzz
přidá k vašemu klíči
„URL obsahu“ = „[http: //] tintucso.com/lu […]“.

7. Registrační databáze
HKEY_CURRENT_USER \ Software \ Yahoo \ pager \ View \ YMSGR_Laun chcast
přidá k vašemu klíči
„URL obsahu“ = „[http: //] tintucso.com/lu […]“.

8. Registrační databáze
HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentV ersion \ Run
přidá k vašemu klíči
"Správce úloh" = "% System% \ svchost32.exe"
Hodnoty „SVCHOST“ = „% System% \ svhost.exe“.

9. Zastaví následující procesy (pokud jsou spuštěny)
Bkav2006.exe
IEProt.exe
svhost32.exe
svchost32.exe
bdss.exe
vsserv.exe

10. Neustále sleduje okna, která mají v záhlaví jeden z následujících textů:
Můj počítač
Průzkumník Windows

11. Yahoo! Pokouší se šířit prostřednictvím aplikací Messenger, AIM, Windows Live Messenger a Windows Messenger.

12. Zpřístupňuje Správce úloh systému Windows a Editor registru.