Prijeđi na sadržaj

Looksky

Izvor: Wikipedija

Loosky je virus koji se širi e-poštom. Kada je korisnikovo računalo zaraženo, Looksky sebe šalje e-poštom koristeći popis kontakata. Postoje verzije A, D i E.

Verzija A

[uredi | uredi kôd]

Ova verzija Lookskya kopira kao datoteke %Windir%\sachostx.exe i %CurrentFolder%\temp.bak te dodaje sljedeće datoteke:

Verzija D

[uredi | uredi kôd]

Verzija E

[uredi | uredi kôd]

Kopira se kao %Windir%\sachostx.exe i %CurrentFolder%\temp.bak te dodaje sljedeće datoteke:

  • %System%\attrib.ini
  • %System%\hard.lck
  • %System%\msvcrl.dll
  • %System%\sachostb.exe
  • %System%\sachostc.exe
  • %System%\sachostp.exe
  • %System%\sachosts.exe
  • %System%\sachostw.exe

U Windows Registryu registarskom podključu HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run dodaje vrijednost "HostSrv" = "%Windir%\sachostx.exe..." kako bi se ova verzija Lookskya mogla pokretati tijekom sljedećih podizanja sustava. Zatim pokreće netsh.exe kako bi zaobišla zaštitu vatrozida (firewall) za određene datoteke.

Dodaje "%System%\sachostw.exe" = "%System%\sachostw.exe:*:Enabled:enable", "%System%\sachostc.exe" = "%System%\sachostc.exe:*:Enabled:enable","%System%\sachostb.exe" = "%System%\sachostb.exe:*:Enabled:enable", "%System%\sachosts.exe" = "%System%\sachosts.exe:*:Enabled:enable", "%System%\sachostp.exe" = "%System%\sachostp.exe:*:Enabled:enable", "%System%\sachostx.exe" = "%System%\sachostx.exe:*:Enabled:enable" u podključ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy \StandardProfile\AuthorizedApplications\List za modifikaciju postavki za vatrozid