На базата на указания от отдалечен център, Win32.Rmnet.12 може дори да "унищожи" операционната система, информира TechNews.

Вирусът прониква в компютрите по различни пътища - чрез инфектирани флаш памети, заразени изпълними файлове и с помощта на специални скриптове, интегрирани в html документи, които заразяват компютъра при отваряне на уеб страници в прозореца на браузъра.

Win32.Rmnet.12 е сложен файлов вирус с много компоненти, способен да се саморазмножава, като копира сам себе си и се разпространява безконтролно, без участие на потребителя.

Пуснат в операционната система, Win32.Rmnet.12 проверява кой браузър е инсталиран по подразбиране (ако такъв не е открит, вирусът избира Internet Explorer) и се вгражда в процесите на браузъра.

Генерирайки име на собствения си файл на основата на серийния номер на твърдия диск, вирусът се съхранява в папката за автоматично зареждане на текущия потребител и установява атрибут „скрит". В същата папка се съхранява и конфигурационният файл, в който се записват необходимите за работата на вируса данни.
След това, на базата на заложения в него алгоритъм, вирусът определя името на управляващия сървър и се опитва да установи връзка.

Разпространението на вируса става на първо място през уязвимост на браузъра, която позволява съхраняване и пускане на изпълними файлове при отваряне на уеб страници. Вирусът търси всички съхранени на диска html файлове и добавя в тях код на езика VBScript.

Освен това Win32.Rmnet.12 инфектира всички открити на диска изпълними файлове с разширение .exe и може да се копира на сменяеми флаш устройства, като съхранява в основната директория файл за автоматично стартиране и етикет, водещ към зловредно приложение, което на свой ред пуска вируса.

По данни към 15 април, ботнетът на Win32.Rmnet.12 се състои от 1 400 520 заразени възела и продължава да се разраства.