When W32.Gaobot.SN is executed, it performs the following actions:
Registers itself as a service. This will cause it to keep running even if you log off.
Creates the mutex "Moo" so that only one instance of the worm runs at once.
Copies itself to one of the following locations:
%System%\Msnss.exe
%System%\Msgfix.exe
--------------------------------------------------------------------------------
Note: %System% is a variable. The worm locates the System folder and copies itself to that location. By default, this is C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
--------------------------------------------------------------------------------
Adds one of these values:
"Configuration Loader" = "msnss.exe"
"Configuration Loader" = "msgfix.exe"
to these registry keys:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
RunServices
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
so that the worm runs when you start Windows.
Locates users on the network. Then, it uses a pre-defined set of passwords to try to log onto the network's shared resources. If it succeeds, then it will copy itself to the following locations:
IPC$\msgfix.exe
D$\msgfix.exe
print$\msgfix.exe
c$\msgfix.exe
Admin$\msgfix.exe
c$\windows\system32\msgfix.exe
c$\winnt\system32\msgfix.exe
Admin$\system32\msgfix.exe
Scans for computers that are infected by Mydoom variants. If it finds any, it will copy itself to them as Msgfix.exe. Then, it uses the backdoor component of Mydoom to executes the file.
Allows attackers to use a predetermined IRC channel to access the infected computer. The attacker can perform any of these actions:
Download and execute files
Scan the network
List, stop, and start processes
Control the file system (Delete, create, and list files)
Launch Denial of Service (DoS) attacks
Perform port redirection
Steal system information and send it to the attacker using email
Seals CD keys of the following popular games:
Command & Conquer Generals
FIFA 2003
Need For Speed Hot Pursuit 2
Soldier of Fortune II - Double Helix
Neverwinter
Rainbow Six III RavenShield
Battlefield 1942 Road To Rome
Project IGI 2
Counter-Strike
Unreal Tournament 2003
Half-Life
################################
Również znany jako: W32.Gaobot
Typ: robak
Długość: 100352
Niszczący dyski: nie
Niszczący pliki: nie
Efekty wizualne: nie
Efekty dźwiękowe: nie
Gaobot jest robakiem sieciowym, którego działanie polega na rozprzestrzenianiu się w sieciach lokalnych oraz poprzez IRCa.
Po uruchomieniu przez użytkownika pliku załącznika robak tworzy na dysku swoje kopie w plikach: Svchosl.exe, Winhlpp32.exe oraz modyfikuje tak rejestr by jego kopia była uruchamiana przy każdym starcie systemu Windows.
Aktywny trojan nasłuchuje na losowo wybranym porcie na komendy od swojego autora pozwalające na przejęcie kontroli nad komputerem ofiary poprzez sieć.
Podobnie robak łączy się z kanałem IRCa, na którym nasłuchuje na komendy od swojego autora.
Na koniec robak tworzy swoje kopie na udostępnionych zasobach sieciowych w sieci lokalnej.
EDIT:
spuznilem sie ... ale juz zostawie...
maciejsekula
