Auraax.A

Az Auraax.A féreg elsősorban cserélhető adattárolókon keresztül terjed. A féreg a Windows egyes rendszerfolyamatait fertőzi meg, és azok mögül végzi a tevékenységét. Hatástalanítja a Windows beépített tűzfalát, majd kártékony programokat tölt le.

Amikor a kártékony program elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő fájlokat:
%Temp%\LOAD1.EXE
%Program Files%\Microsoft Common\WUAUCLT.EXE

2. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe\Debugger = "%Program Files%\Microsoft Common\wuauclt.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\svchost = "%Program Files%\Microsoft Common\wuauclt.exe"

3. Megfertőzi az SVCHOST.EXE és az EXPLORER.EXE folyamatokat.

4. Minden cserélhető meghajtóra felmásol egy WUAUCLT.EXE és egy AUTORUN.INF nevű állományt.

5. A regisztrációs adatbázishoz hozzáadja a következő értéket:
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\%Program Files%\Microsoft Common\wuauclt.exe = "%Program Files%\Microsoft Common\wuauclt.exe:*:Enabled:EMOTIONS_EXECUTABLE"

6. Interneten keresztül kártékony fájlokat tölt le, majd várakozik a támadók parancsaira.