Webes fájlok révén terjedő vírus
A Validin féreg komoly károkat tud okozni a kiszemelt számítógépeken, ugyanis minden webes állományt, valamint Ghost-fájlt megfertőz.
A Validin féreg elsősorban cserélhető adattárolókon keresztül terjed. Arról is gondoskodik, hogy ezen adattárolók számítógépekhez való csatlakoztatásakor automatikusan elinduljon. A kártevő számos fájlt hoz létre a fertőzött számítógépeken, és az Internetről is tölt le néhány állományt. Ezek mellett módosítja a regisztrációs adatbázist.
A Validin legfőbb veszélye, hogy a számítógépeken olyan állományokat fertőz meg, amelyek gyakran használatosak, és nem keltenek gyanút. Így például a féreg a html, jsp, asp, aspx, php és xml kiterjesztésű állományokra is veszélyt jelent. Ezek mellett a Ghost fájlok megfertőzésére is alkalmas.
Amikor a Validin féreg elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehozza a következő fájlokat:
%Windir%\Invalid.exe
%System%\drivers\Invalid.exe
2. Letörli a %System%\Invalid.dll állományt.
3. A cserélhető adattárolókra felmásol egy RECYCLER.exe valamint egy Autorun.inf fájlt.
4. A regisztrációs adatbázisban létrehozza a következő bejegyzéseket:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\policies\Explorer\Run”WinFile” = “%System%\drivers\Invalid.exe”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Policies\Explorer\Run”DataAccess” = “%Windir%\Invalid.exe”
5. A regisztrációs adatbázisban módosítja az alábbi bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Policies\Explorer”NoDriveTypeAutoRun” = “95”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Explorer\Advanced\Folder\Hidden\SHOWALL”CheckedVal ue” = “0”
6. Interneten keresztül fájlokat tölt le.
7. Leállítja a biztonsági szoftverekhez tartozó folyamatokat és szolgáltatásokat.
8. Minden olyan fájlt megfertőz, amelyek az alábbi kiterjesztések valamelyikével rendelkeznek:
.htm
.html
.jsp
.vbs
.xml
.shtml
.js
.php
.asp
.aspx
Ezekhez a fájlokhoz egy kis JavaScriptet fűz hozzá.
A féreg az alábbi könyvtárakban szereplő állományokat nem módosítja:
Windows NT
WINDOWS
Local Settings
Recycled
System Volume Information
9. Minden elérhető .gho fájlt megfertőz.
