W sieci pojawił się nowy szkodnik o nazwie Win32.HLLW.Shadow.based. Wykorzystuje on luki systemowe pochodzące jeszcze z czasów Windows 2000, a które istnieją nawet w najnowszej Beta wersji systemu Windows 7. Na jego przykładzie można zobaczyć jak działa taki szkodnik.
Win32.HLLW.Shadow.based wykorzystuje kilka dróg rozprzestrzeniania, przez co jest szczególnie trudny do analizy.
Na początek przenosi się w ostatnio modny sposób, a zatem za pomocą mechanizmu autostartu, czyli w plikach autorun.inf. Przy zarażeniu tą metodą, w folderze Recycler tworzy plik o losowej nazwie w postaci \ Sxx-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx. Można tutaj zauważyć, że podobną strukturę plików stosuje system dla plików w koszu.
Kolejną drogą zakażenia jest sieć. Tutaj robak rozprzestrzenia się dzięki mechanizmowi protokołu SMB. W tym momencie kopiuje się on do folderu systemowego i uruchamia się po zadanym okresie czasu.
Stosuje on jeszcze mechanizm, który został naprawiony przez ostatni biuletyn zabezpieczeń. Tutaj ładuje złośliwe pliki poprzez HTTP.

Jeżeli robak znajdzie się już w systemie, sprawdza w jakim procesie on się znajduje. Jeżeli jest to proces rundll32.exe, to wstrzykuje on swój kod do plików svchost.exe oraz exlorer.exe. Następnie otwiera bieżący folder w Eksploratorze Windows i kończy pracę.
Jeżeli natomiast stwierdzi, że nie znajduje się w procesie rundll32.exe, tworzy on swoją kopię w pliku o losowej nazwie i dodaje go do usług systemowych. Dodaje go także do autostartu systemu. Ponadto zatrzymuje on usługę aktualizacji systemu oraz wdraża serwer HTTP, dzięki czemu rozprzestrzenia się w sieci.
W momencie, gdy wirus stwierdzi, że znajduje się w procesie svchost.exe, zaczyna działać jako klient DNS i wstrzykuje swój kod w funkcje DNS komputera. Blokuje on tym samym dostęp do witryn firm antywirusowych.
Na koniec wprowadza funkcjonalne zmiany w pliku Tcpip.sys, aby zwiększyć ograniczenia w liczbie jednoczesnych połączeń sieciowych.

Ochrona przed lub walka z tym szkodnikiem polega głównie na uaktualnieniu systemu, stosowaniu złożonych haseł, aby robak nie mógł użyć gotowego słownika, a w przypadku zarażenia, odłączeniu go od sieci i przeskanowaniu systemu programem antywirusowy, np Dr.Web.

Źródło: www.anti-malware.ru