Webes fájlok révén terjedő vírus

A Validin féreg komoly károkat tud okozni a kiszemelt számítógépeken, ugyanis minden webes állományt, valamint Ghost-fájlt megfertőz.

A Validin féreg elsősorban cserélhető adattárolókon keresztül terjed. Arról is gondoskodik, hogy ezen adattárolók számítógépekhez való csatlakoztatásakor automatikusan elinduljon. A kártevő számos fájlt hoz létre a fertőzött számítógépeken, és az Internetről is tölt le néhány állományt. Ezek mellett módosítja a regisztrációs adatbázist.

A Validin legfőbb veszélye, hogy a számítógépeken olyan állományokat fertőz meg, amelyek gyakran használatosak, és nem keltenek gyanút. Így például a féreg a html, jsp, asp, aspx, php és xml kiterjesztésű állományokra is veszélyt jelent. Ezek mellett a Ghost fájlok megfertőzésére is alkalmas.

Amikor a Validin féreg elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő fájlokat:
%Windir%\Invalid.exe
%System%\drivers\Invalid.exe

2. Letörli a %System%\Invalid.dll állományt.

3. A cserélhető adattárolókra felmásol egy RECYCLER.exe valamint egy Autorun.inf fájlt.

4. A regisztrációs adatbázisban létrehozza a következő bejegyzéseket:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\policies\Explorer\Run”WinFile” = “%System%\drivers\Invalid.exe”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Policies\Explorer\Run”DataAccess” = “%Windir%\Invalid.exe”

5. A regisztrációs adatbázisban módosítja az alábbi bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\Explorer”NoDriveTypeAutoRun” = “95”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Explorer\Advanced\Folder\Hidden\SHOWALL”CheckedVal ue” = “0”

6. Interneten keresztül fájlokat tölt le.

7. Leállítja a biztonsági szoftverekhez tartozó folyamatokat és szolgáltatásokat.

8. Minden olyan fájlt megfertőz, amelyek az alábbi kiterjesztések valamelyikével rendelkeznek:
.htm
.html
.jsp
.vbs
.xml
.shtml
.js
.php
.asp
.aspx

Ezekhez a fájlokhoz egy kis JavaScriptet fűz hozzá.

A féreg az alábbi könyvtárakban szereplő állományokat nem módosítja:
Windows NT
WINDOWS
Local Settings
Recycled
System Volume Information

9. Minden elérhető .gho fájlt megfertőz.