Win32.HLLW.Showgame

Jest to bardzo niebezpieczny, rezydentny robak Win32. Nie infekuje plików lecz rozprzestrzenia się pod postacią aplikacji Win32 o rozmiarze 70 kB.

W zainfekowanym komputerze wirus może się znajdować w następujących plikach:

– w katalogu systemowym Windows z nazwą WINDOWS.EXE;
– w katalogu Windows z nazwą WINXYZ.EXE;
– na dyskietce w napędzie A: z nazwą SHOWGAME.EXE.

Po uruchomieniu z zainfekowanej dystkietki wirus kopiuje się do katalogu systemowego Windows z nazwą WINDOWS.EXE oraz do katalogu Windows z nazwą WINXYZ.EXE. Następnie umieszcza się w sekcji auto-run rejestru systemowego:

HKEY_LOCAL_MACHINE\Software\Microsoft\
WindowsCurrentVersion\RunServices
wwindll = %SystemDir%\winxyz.exe /run”

Uruchomiony wirus pozostaje w pamięci systemowej jako ukryty proces, który podczas korzystania ze stacji A: zapisuje na dyskietce plik SHOWGAME.EXE. Plik ten posiada atrybuty: systemowy, tylko do odczytu oraz ukryty.

26 marca każdego roku wirus niszczy pliki zapisane w głównym katalogu dysku C:.

Podczas infekowania systemu wirus dodatkowo modyfikuje poniższy klucz rejestru:

HKEY_CURRENT_USER\Software\Microsoft\
WindowsCurrentVersion\Explorer\
CabinetState FullPath = 1

W soboty, w rosyjskiej wersji systemu Windows wirus przykrywa pulpit białą elipsą.