Latvijā masveidā tiek izplatīti e-pasti, kuros norādīti viltoti sūtītāji, piemēram, VID (attiecīgajiem e-pastiem ar norādīto organizāciju nav nekāda sakara). E-pastu nosaukumos un tekstā minēta "sudziba nodoklu dienestam", "informacija par sudzibu" u.c. dažādas variācijas par šo tēmu.

Vēstulei pievienots inficēts pielikums ar failu, kam izmantots dubultais paplašinājums .DOC.zip, kuru atarhivējot iegūstams .SCR tipa izpildāmais fails.

Pēc vīrusu saturošā .SCR faila izpildes, tas mapē %AppData% (Windows XP= C:\Documents and Settings\User\Application Data\, Windows 7 un 8 = C:\Users\User\AppData\Roaming\) izveido trīs mapes ar nejauši ģenerētiem nosaukumiem 5 un 6 simbolu garumā, kurās izvieto savai darbībai nepieciešmos failus.

Mapju izveides laiks un datums netiek mainīts, tas sakrīt ar vīrusa aktivācijas laiku.

Vienā no mapēm tiek izveidots .exe fails ar nejauši ģenerētu 5 simbolu garu nosaukumu, no kura tiek veikta vīrusa izpilde.

Vīrusa atkārtota aktivācija pēc datora pārstartēšanas tiek panākta, pievienojot reģistru atslēgu HKCU\Software\Microsoft\Windows\CurrentVersion\Run\”*Nejausja_atsleega*=„*saite uz virusa .exe failu*”

Pēc izpildes vīruss nodibina kontaktus ar vietni morondos.com(tikai neveriet vaļā šo lapu,jo tā ir inficēta (šobrīd IP 31.186.100.26)), no kuras iegūst papildu failus un konfigurācijas informāciju.

morondos.com <-- config/updater server
IP:31.186.100.26
ISP:OOO Network of data-centers Selectel

Analīze: https://malwr.com/analysis/NjY4OTNmZjBmN…

Vīruss bloķē piekļuvi pie populārāko antivīrusu programmu ražotāju lapām, bet netraucē palaist antivīrusu programmas no datu nesējiem.

Vienkāršākais veids, kā pārtraukt šī vīrusa darbību, ir pēc datora pārstartēšanas „Safe Mode” izdzēst tā izveidotās mapes un reģistru ierakstu.

Varat mēģināt savu datoru pārbaudīt un patīrīt šeit http://support.microsoft.com/contactus/c…