Троянская программа, выполняющая вредоносные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 23552 байта.
Инсталляция
Троянец копирует свой исполняемый файл как: %WinDir%\system\svhost.exe
Для автоматического запуска при каждом следующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра: [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "WSVCHO" = "%WinDir%\system\svhost.exe"
Деструктивная активность
Троянец добавляет свой исполняемый файл в список доверенных приложений Windows Firewall.
После чего запускает процесс "iexplore.exe" и внедряет в него свой код.
А так же службы следующих антивирусных программ и сетевых фильтров: AntiVir Avast Antivirus AVG Antivirus BitDefender Dr.Web Kaspersky Antivirus Nod32 Norman Authentium Antivirus Ewido Security Suite McAfee VirusScan Panda Antivirus/Firewall Sophos Symantec/Norton PC-cillin Antivirus F-Secure Norton Personal Firewall ZoneAlarm Comodo Firewall eTrust EZ Firewall F-Secure Internet Security Kaspersky Antihacker McAfee Personal Firewall Norman Personal Firewall Outpost Personal Firewall Panda Internet Seciruty Suite Panda Anti-Virus/Firewall Kerio Personal Firewall Tiny Personal Firewall BitDefender / Bull Guard Antivirus Sygate Personal Firewall
Троян пытается похитить пароли к веб-сайтам, сохраненные в кеше следующих браузеров: Mozilla FireFox Internet Explorer
А так же пароли и данные учетных записей следующих IM-клиентов: Trillian Miranda Yahoo Messenger MySpace IM Gaim
Так же троян содержит встроенный клавиатурный шпион и может делать скриншоты рабочего стола пользователя, которые сохраняются во временную папку с именами вида .tmp, где N – некоторое десятичное число.
Собранную информацию троян загружает на сервер злоумышленников: 212.158.160.***
Распространение на съемных носителях
Троянец копирует свой исполняемый файл в корень каждого съемного диска с именем:
:\wlan.exe, где X – буква раздела
Также вместе со своим исполняемым файлом помещает в корень каждого раздела сопровождающий файл: :\autorun.inf
который запускает исполняемый файл троянца, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".
