Kártékony programokat letöltő trójai
Kristóf Csaba,
2005. április 28. -
Vírusvédelem
Hír küldése
Az Admincash trójai legújabb variánsa különböző kártékony programokat töltöget le a fertőzött számítógépekre.
Az Admincash.B trójai először az explorer.exe fájlt fertőzi meg, majd e mögé rejtőzve fut a fertőzött rendszereken. Miután a trójai feltelepítette magát a számítógépre, meglehetősen sok változtatást hajt végre a regisztrációs adatbázisban. Ezt követően pedig az Internetről kezd el letölteni különböző kártékony programokat, többek között betárcsázó szoftvereket is.
Amikor az Admincash.B elindul, akkor az alábbi műveleteket hajtja végre:
1. Bemásolja magát az alábbi könyvtárakba:
%Windir%\explorer.new
%System%\dllcache\explorer.exe
%System%\svhost.exe
%System%\[a trójai fájlneve]
2. Létrehoz egy "bayan" mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
3. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
kulcsaihoz hozzáadja a
"System backup" = "%System%\[trójai fájlneve]" értéket.
4. A win.ini állományhoz hozzáfűzi az alábbi sort:
run=%System%\svhost.exe
5. A Wininit.ini fájlhoz hozzáadja a következő két sort:
[Rename]
%Windir%\explorer.exe=%Windir%\explorer.new
6. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
kulcsához hozzáadja a
"run" = "%System%\svhost.exe" értéket.
7. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\SystemRestore
kulcsaihoz hozzáadja a
"DisableSR" = "1" értéket.
Ezzel kikapcsolja a rendszervisszaállítási funkciókat.
8. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "1"
"AUOptions" = "1" értékeket.
Ezzel kikapcsolja a Windows Update szolgáltatást
9. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
HKEY_CURRENT_USER\Software\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
"AntiVirusDisableNotify" = "1" értéket.
Ezzel kikapcsolja az antivírus szoftverekhez és tűzfalakhoz tartozó – Windows XP által generált - figyelmeztető üzenetek megjelenését.
10. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
kulcsaihoz hozzáadja a
"SelfLimit" = "1" értéket.
11. Megfertőzi a Windows könyvtárában lévő explorer.exe fájlt.
12. Kártékony programokat tölt le az Internetről.
Amikor az Admincash.B elindul, akkor az alábbi műveleteket hajtja végre:
1. Bemásolja magát az alábbi könyvtárakba:
%Windir%\explorer.new
%System%\dllcache\explorer.exe
%System%\svhost.exe
%System%\[a trójai fájlneve]
2. Létrehoz egy "bayan" mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
3. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
kulcsaihoz hozzáadja a
"System backup" = "%System%\[trójai fájlneve]" értéket.
4. A win.ini állományhoz hozzáfűzi az alábbi sort:
run=%System%\svhost.exe
5. A Wininit.ini fájlhoz hozzáadja a következő két sort:
[Rename]
%Windir%\explorer.exe=%Windir%\explorer.new
6. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
kulcsához hozzáadja a
"run" = "%System%\svhost.exe" értéket.
7. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\SystemRestore
kulcsaihoz hozzáadja a
"DisableSR" = "1" értéket.
Ezzel kikapcsolja a rendszervisszaállítási funkciókat.
8. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "1"
"AUOptions" = "1" értékeket.
Ezzel kikapcsolja a Windows Update szolgáltatást
9. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
HKEY_CURRENT_USER\Software\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
"AntiVirusDisableNotify" = "1" értéket.
Ezzel kikapcsolja az antivírus szoftverekhez és tűzfalakhoz tartozó – Windows XP által generált - figyelmeztető üzenetek megjelenését.
10. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
kulcsaihoz hozzáadja a
"SelfLimit" = "1" értéket.
11. Megfertőzi a Windows könyvtárában lévő explorer.exe fájlt.
12. Kártékony programokat tölt le az Internetről.
Hozzászólások