Agentdoc

Amikor a kártékony program elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehoz egy Word dokumentumot, és megnyitja azt. A dokumentum japán nyelvű szöveget tartalmaz.

2. Létrehozza a következő fájlokat:
%UserProfile%\Local Settings\Temp\abs.exe
%System%\mrxgbaxv.dll
%System%\mrxgbaxv.drv
%System%\drivers\mrxgbaxv.sys
%System%\mrxgbaxv.log

3. Létrehoz egy mrxgbaxv nevű szolgáltatást.

4. A regisztrációs adatbázisba beszúrja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\ControlSet003\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet003\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\LEGACY_MRXGBAXV

5. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sens\Parameters
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Sens\Parameters
kulcsához hozzáadja a
""ServiceDll"" = ""%SystemRoot%\System32\mrxgbaxv.dll"" értéket.

6. Különböző rootkit technikák révén elrejti a saját fájljait illetve bejegyzéseit.

7. Folyamatosan naplózza a billentyűleütéseket egy %System%\mrxgbaxv.log állományba.

8. Letölt egy fájlt az Internetről, majd elindítja azt.