Видео удалено трояном GoGho

Троянец GoGho удаляет с зараженных компьютеров различные мультимедийные файлы.

A ГоГхо после создания нескольких файлов троян изменяет регистрационную базу данных в нескольких точках. Это, помимо прочего, делает недоступными окна диспетчера задач Windows, редактора реестра и командной строки. Троянец также удаляет файл hosts Windows из зараженных систем.

Основная цель GoGho — удаление мультимедийных файлов с разными расширениями. Однако вредоносная программа удаляет эти файлы только с диска «Е» (если такой диск существует). Троянец не сохраняет файлы с такими расширениями, как mov, avi, wmv, mpg и mpeg.

При запуске троянец GoGho выполняет следующие действия:

1. Создайте следующие файлы:
   % WinDir% \ system32 \% Случайное имя% \% Случайное имя% .exe
   % WinDir% \ system32 \% Случайное имя% \ GoldenGhost.exe
   % WinDir% \ system32 \% Случайное имя% \ devil.ocx
   % WinDir% \ system32 \% Случайное имя% \ pluto.ocx
2. Удаляет следующий файл:
   % WinDir% \ system32 \ drivers \ etc \ hosts
3. Измените следующие записи в базе данных регистрации:
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \
   Дополнительно \ hidefileext = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \
   Продвинутый \ supperhidden = 0
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \
   Дополнительно \ hidden = 2
   HKEY_LOCAL_MACHINE \ Программное обеспечение \ Microsoft \ WindowsNT \ CurrentVersion \
   Зарегистрированная организация = GoldenGhost.Inc
   HKEY_LOCAL_MACHINE \ Программное обеспечение \ Microsoft \ WindowsNT \ CurrentVersion \
   ЗарегистрированныйВладелец = GoldenGhost
4. В базу данных регистрации добавляются следующие записи:
   HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \
   Запустите «GoldenGhost» = %Путь трояна GoGho%
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   Политики\Проводник «NoFind» = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   Политики\Проводник «NoFolderOptions» = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   Политики\Проводник «NoRun» = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   Политики\Система «DisableCMD» = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   политики\Система «DisableRegistryTools» = 1
   HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \
   политики\Система «DisableTaskMgr» = 1
   HKEY_CURRENT_USER \ Программное обеспечение \ GoldenGhost.A
5. Отображает следующее сообщение в окне, содержащем текстовое поле:
   — Оооооооооооооооооооооооооооооооооооооооооооооооооооооооооооооооооооооо...
6. Удаляет с диска «Е» (если он есть) файлы со следующими расширениями:
   * .mov
   * .dat
   * .wmv
   * .3gp
   * .avi
   * .mpg
   * .mpeg