Szkodnik ten szyfruje pliki znajdujące się na zaatakowanym komputerze. Ma postać pliku PE EXE (kompresja UPX, rozmiar po rozpakowaniu - 58 368 bajtów).
Plik wykonywalny znanych wariantów tego wirusa ma nazwę "ntos.exe".
Po uruchomieniu wirus tworzy unikatowy klucz szyfrowania i zapisuje go w rejestrze systemowym:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
"WinCode" = "(klucz szyfrowania)"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe"
Wartość klucza będzie okresowo sprawdzana przez procesy systemowe, do których został wstrzyknięty szkodliwy kod (np. "Winlogon.exe". Jeśli wartość klucza zostanie zmieniona (tj. jeśli "%System%\ntos.exe" zostanie usunięty), zostanie automatycznie przywrócona z procesu systemowego.
"%System%\ntos.exe" jest chroniony przed modyfikacją, zmianą nazwy oraz kopiowaniem.
Jeśli bieżąca data systemowa znajduje się w przedziale od 10 do 15 lipca 2007 r., wirus będzie szyfrował wszystkie pliki użytkownika z następującymi rozszerzeniami:
Wirus umieszcza plik o nazwie "read_me.txt" w każdym folderze zawierającym zaszyfrowane pliki.
Hello, your files are encrypted with RSA-4096 algorithm (http://en.wikipedia.org/wiki/RSA).
You will need at least few years to decrypt these files without our software. All your private information for last 3 months were collected and sent to us.
To decrypt your files you need to buy our software. The price is $300.
To buy our software please contact us at: xxxxx@xxxx.com and provide us your personal code -XXXXX. After successful purchase we will send your decrypting tool, and your private information will be deleted from our system.
If you will not contact us until 07/15/2007 your private information will be shared and you will lost all your data.
Glamorous team
Witaj, twoje pliki zostały zaszyfrowane przy użyciu algorytmu RSA-4096 (http://en.wikipedia.org/wiki/RSA).
Bez naszego oprogramowania odszyfrowanie tych plików zajmie ci przynajmniej kilka lat.
Od trzech miesięcy twoje poufne informacje były gromadzone i wysyłane do nas.
Aby odszyfrować swoje dane, musisz kupić nasze oprogramowanie. Jego cena to $300.
W celu dokonania zakupu skontaktuj się z nami pod adresem xxxxxxx@xxxxx.com* i załącz swój osobisty kod - xxxxxxxxx*.
Po dokonaniu zakupu, prześlemy ci narzędzie deszyfrujące a twoje poufne informacje zostaną skasowane z naszego systemu.
Jeżeli nie skontaktujesz się z nami do 15 lipca 2007 twoje poufne informacje zostaną udostępnione w Internecie.
Glamorous team
*Adres e-mail oraz osobisty kod zostały celowo zamazane.
Wirus tworzy również ukryty folder o nazwie "wsnpoem" w folderze systemu Windows zawierający dwa puste pliki: "video.dll" and "audio.dll".
Jeśli oprogramowanie antywirusowe zainstalowane na twoim komputerze nie jest aktualne lub nie korzystasz z żadnego rozwiązania antywirusowego, w celu usunięcia szkodnika z zainfekowanego systemu wykonaj następujące operacje:
Przykład:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe_"