A Mixor.AR elektronikus levelek mellékleteként meglehetősen gyorsan terjed, és a fertőzött számítógépekre további kártékony programokat is felmásol.
A Mixor.AR féreg elsősorban elektronikus levelekben terjed. Az ehhez szükséges email címeket a fertőzött számítógépeken található, különböző kiterjesztésű állományokból gyűjti össze. Amint rákerül egy PC-re, akkor azon számos fájlt hoz létre. Ezek között olyanok is megtalálhatók, amelyek egy Mixor.Q férget valamint egy Peacomm trójait tartalmaznak.
A Mixor.AR egy windowsos szolgáltatás létrehozása után megpróbálja leállítani a biztonsági szoftverekhez tartozó folyamatokat, és ezzel további kártékony programoknak, illetve fenyegetettségeknek szolgáltatja ki a számítógépeket. A féreg arról is gondoskodik, hogy a Windows Feladatkezelője, és a regisztrációs adatbázis szerkesztője elérhetetlenné váljon a felhasználó számára.
Amikor a Mixor.AR féreg elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehozza a következő fájlokat:
%CurrentFolder%\[7 véletlenszerű karakter].exe
%System%\wincom32.sys
%System%\wincom32.ini
2. A regisztrációs adatbázisban módosítja az alábbi bejegyzést:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\S haredAccess”Start” = “4”
3. A regisztrációs adatbázisból kitörli a következő kulcsot:
HKEY_LOCAL_MACHINE\Software\Micorsoft\Windows\CurrentV ersion\Run”Agent”
4. Létrehoz egy “wincom32” nevű szolgáltatást.
5. Létrehoz egy mutexet.
6. Leállítja a biztonsági szoftverekhez tartozó folyamatokat, és elérhetetlenné teszi a Windows Feladatkezelőjét valamint a regisztrációs adatbázis szerkesztőjét.
7. Különböző kiterjesztésű fájlokból email címeket gyűjt össze.
8. A saját SMTP komponensének segítségével továbbküldi saját magát az összegyűjtött email címekre.
A fertőzött levelek tárgya lehet:
USA Declares War on Iran
USA Missle Strike: Iran War just have started
Missle Strike: The USA kills more then 20000 Iranian citizens
Missle Strike: The USA kills more then 1000 Iranian citizens
Missle Strike: The USA kills more then 10000 Iranian citizens
Israel Just Have Started World War III
USA Just Have Started World War III
Iran Just Have Started World War III
A fertőzött levelek mellékletéhez tartozó fájl neve lehet:
More.exe
Read More.exe
Click Here.exe
Click Me.exe
Read Me.exe
Movie.exe
News.exe
Video.exe.
