Azonnali üzenetküldőkről támad a Stekct féreg

A Stekct.A féreg legfontosabb terjesztési csatornáját az azonnali üzenetküldők jelentik. Így például felbukkanhat a Skype-on, a Windows Live Messengeren valamint a Yahoo Messengeren is. Minden esetben az alkalmazások címjegyzékében szereplő személyek számára üzeneteket küldözget. Ezekben olyan hivatkozásokat is elhelyez, melyek ártalmas, további vírusok terjedését szolgáló weblapokra mutatnak. Itt kell megjegyezni, hogy a Stekct.A a Facebook felhasználóinak számítógépeit is kiszemelte magának, és bizonyos körülmények között a közösségépítőben rejlő lehetőségeket is megpróbálja a saját javára fordítani.

Az Isidor Biztonsági Központ közleménye szerint a Stekct.A a fertőzött számítógépeken gondoskodik arról, hogy a Windows beépített tűzfala ne jelentsen számára akadályt a különféle tevékenységeinek végrehajtása során. Emellett pedig egyes biztonsági alkalmazásokat is igyekszik hatástalanítani.

Amikor a Stekct.A féreg elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő állományokat:
%windir%/mdm.exe
%ProgramFiles%/mdm.exe
%PUBLIC%/mdm.exe

2. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/Microsoft Firevall Engine="[a féreg fájlneve]"
HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/Microsoft Firevall Engine="%windir%/mdm.exe"
HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Terminal Server/Install/Software/Microsoft/Windows/CurrentVersion/Run/Microsoft Firevall Engine="%windir%/mdm.exe"

3. Az alábbi üzenetküldők és webes szolgáltatások címjegyzékében szereplő személyek számára egy kártékony weboldalra mutató hivatkozással ellátott üzenetet küld:
AIM
Facebook
GIMP
Google Talk
ICQ
Skype
Windows Live Messenger
Yahoo Messenger

4. Csatlakozik egy előre meghatározott távoli szerverhez, amelyről további állományokat tölt le.

5. A regisztrációs adatbázishoz hozzáadja az alábbi értéket:
HKLM/SYSTEM/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/AuthorizedApplications/List/[fájlnév]="[fájlnév]:*:enabled:microsoft firevall engine"

6. Leállítja az alábbi folyamatokat, amennyiben azok léteznek, majd letörli az azokhoz tartozó fájlokat:
egui.exe
ekrn.exe
msseces.exe
svhost.exe
YahooAUService.exe