Fałszywy WGA

Specjaliści od zabezpieczeń odkryli nowy rodzaj robaka, który podszywa się pod program firmy Microsoft wykrywający nielicencjonowane kopie systemu. O nowej wersji narzędzia MS WGA informowaliśmy kilka dni temu.


Ten złosliwy program rozsyła się za pomocą komunikatora Instant Messenger firmy AOL. Specjaliści z firmy Sophos, zajmujacej się bezpieczeństwem systemów komputerowych, ochrzcili go mianem W32.Cuebot-K, ponieważ stanowi wariację rodziny Cuebot.

Po zainstalowaniu się, robak natychmiast nawiązuje połączenie z dwiema witrynami w sieci i próbuje pobrać inne niepożądane programy, przeprowadza podstawowe ataki DDOS (distributed denial of service), skanuje lokalne dyski. Potrafi neutralizować zabezpieczenia i wyłączać zaporę internetową Windows.

Robak, który rozsyła się za pomocą komunikatorów, często pojawia się jako wiadomość w postaci adresu internetowego, spreparowana tak, że wygląda jakby pochodziła od jednego ze znajomych z listy kontaktów.

Robak rozsyła się w postaci pliku "wgavn.exe". Usadawia się w systemie rejestrując jako sterownik nowego urządzenia pod nazwą "wgavn". Gdy zaś zostanie przywołana lista uruchomionych usług, zgłasza się jako "Windows Genuine Advantage Validation Notification". Cuebot-K tworzy w rejestrze klucz HKLM\SYSTEM\CurrentControlSet\Services\wgavn\.