Adwareloader

Amikor a kártékony program elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehoz egy SouthPark nevű mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.

2. Létrehozza az alábbi fájlokat:
%System%\[a trójai fájlneve]
%System%\msoffice.exe

3. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja a
""WebRun"" = ""%System%\[a trójai fájlneve]"" értéket.

4. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
kulcsához hozzáadja a
""run"" = ""%System%\msoffice.exe"" értéket.

5. Windows 95/98 operációs rendszerek esetében a win.ini fájlhoz hozzáadja a következő sort:
run = %System%\msoffice.exe

6. A private-admin.biz címről letölt néhány adware és spyware programot.

7. Az Internetről letölt egy kódolt, commands.ini nevű fájlt, amely a regisztrációs adatbázisban elvégzendő változtatásokat tartalmazza.

8. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
kulcsaihoz hozzáadja a
""Cartman"" = ""[DWORD érték a command.ini fájlból]"" értéket.

9. Módosítja az Internet Explorer kezdőoldalát a regisztrációs adatbázis alábbi bejegyzésének megváltoztatásával:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page

10. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center
kulcsaihoz hozzáadja a
""FirewallDisableNotify"" = ""1""
""UpdatesDisableNotify"" = ""1""
""AntiVirusDisableNotify"" = ""1"" értékeket.

11. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
""NoAutoUpdate"" = ""1""
""AUOptions"" = ""1"" értékeket.

12. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
kulcsaihoz hozzáadja az
""EnableFirewall"" = ""1"" étéket.