A rendszeren hátsó kaput nyitó féreg

A féreg paraméterei

Felfedezésének ideje: 2005. január 21.
Utolsó frissítés ideje: 2005. január 24.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: nem ismert
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– létrehozza a blaaat nevű mutexet, ezzel biztosítva, hogy csak egyszer töltődjön be a memóriába
– felmásolja magát a System könyvtárba iexplor.exe névvel
– leellenőrzi az alábbi Registry kulcs és bejegyzés meglétét a rendszerleíró adatbázisban: HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/MS. Update/bla=[véletlenszám]
– amennyiben ez létezik, a féreg file-okat tölt le HTTP-n keresztül, majd futtatja is őket; ezenfelül frissítheti is önmagát
– hozzáadja a shell=explorer.exe iexplor.exe bejegyzést a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon Registry kulcshoz
– hozzáadja a winsockdriver=iexplor.exe bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run és a HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce kulcsokhoz
– hozzáadja a bla=[véletlenszám] bejegyzést a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/MS. Update kulcshoz, ezzel jelezve az adott rendszer fertőzöttségét
– hozzáadja a shell = explorer.exe iexplor.exe sort a system.ini file-hoz
– megkísérel terjedni $ADMIN hálózati megosztásokon keresztül; ehhez különböző, gyakran használt, egyszerű jelszavakat próbálgat végig
– hátsó kaput nyit a megtámadott rendszeren, az OlaGh csatornához kapcsolódva, melyet a 6667-es TCP porton ér el, a következő két cím valamelyikén: irc.iranserv.com, arya.persiairc.com.