Kártékony programokat letöltő trójai
Kristóf Csaba,
2005. március 15. -
Vírusvédelem
Hír küldése
A Trojan.Adwareloader trójai legfőbb feladata, hogy különböző kártékony programokat töltsön le a fertőzött számítógépekre.
A Trojan.Adwareloader miután elindul azonnal megváltoztatja a Windows biztonsági beállításait. A trójai elsősorban a regisztrációs adatbázisban végez módosításokat. Ezt követően megpróbál az Internetről letölteni különböző adware és spyware programokat.
Amikor a Trojan.Adwareloader elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz egy SouthPark nevű mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
2. Létrehozza az alábbi fájlokat:
%System%\[a trójai fájlneve]
%System%\msoffice.exe
3. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja a
"WebRun" = "%System%\[a trójai fájlneve]" értéket.
4. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
kulcsához hozzáadja a
"run" = "%System%\msoffice.exe" értéket.
5. Windows 95/98 operációs rendszerek esetében a win.ini fájlhoz hozzáadja a következő sort:
run = %System%\msoffice.exe
6. A private-admin.biz címről letölt néhány adware és spyware programot.
7. Az Internetről letölt egy kódolt, commands.ini nevű fájlt, amely a regisztrációs adatbázisban elvégzendő változtatásokat tartalmazza.
8. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
kulcsaihoz hozzáadja a
"Cartman" = "[DWORD érték a command.ini fájlból]" értéket.
9. Módosítja az Internet Explorer kezdőoldalát a regisztrációs adatbázis alábbi bejegyzésének megváltoztatásával:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
10. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
"AntiVirusDisableNotify" = "1" értékeket.
11. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "1"
"AUOptions" = "1" értékeket.
12. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
kulcsaihoz hozzáadja az
"EnableFirewall" = "1" étéket.
Amikor a Trojan.Adwareloader elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz egy SouthPark nevű mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
2. Létrehozza az alábbi fájlokat:
%System%\[a trójai fájlneve]
%System%\msoffice.exe
3. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
kulcsához hozzáadja a
"WebRun" = "%System%\[a trójai fájlneve]" értéket.
4. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
kulcsához hozzáadja a
"run" = "%System%\msoffice.exe" értéket.
5. Windows 95/98 operációs rendszerek esetében a win.ini fájlhoz hozzáadja a következő sort:
run = %System%\msoffice.exe
6. A private-admin.biz címről letölt néhány adware és spyware programot.
7. Az Internetről letölt egy kódolt, commands.ini nevű fájlt, amely a regisztrációs adatbázisban elvégzendő változtatásokat tartalmazza.
8. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
kulcsaihoz hozzáadja a
"Cartman" = "[DWORD érték a command.ini fájlból]" értéket.
9. Módosítja az Internet Explorer kezdőoldalát a regisztrációs adatbázis alábbi bejegyzésének megváltoztatásával:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
10. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "1"
"UpdatesDisableNotify" = "1"
"AntiVirusDisableNotify" = "1" értékeket.
11. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "1"
"AUOptions" = "1" értékeket.
12. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\StandardProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\ WindowsFirewall\DomainProfile
kulcsaihoz hozzáadja az
"EnableFirewall" = "1" étéket.
Hozzászólások