A Windows biztonságát gyengítő trójai
Kristóf Csaba,
2005. január 20. -
Vírusvédelem
Hír küldése
A Downloader.Admincash trójai alacsonyabb szintűre állítja a Windows biztonsági beállításait, majd adware és tárcsázó programokat tölt le az Internetről.
A Downloader.Admincash trójai először megfertőzi az Explorer.exe fájlt. Ezt követően alacsonyabb szintűre állítja a Windows biztonsági beállításait, majd adware és különböző betárcsázó programokat tölt le az Internetről.
Amikor a Downloader.Admincash elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz két mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
2. Bemásolja magát a Windows System könyvtárába .exe kiterjesztéssel és véletlenszerű fájlnévvel.
3 Létrehozza az alábbi bejegyzéseket a regisztrációs adatbázisban:
HKEY_CURRENT_USER\Software\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}
HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}
4. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run
kulcsaihoz hozzáadja a
"Web Service" = "%System%\[véletlenszerű fájlnév].exe" értéket.
5. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
kulcsaihoz hozzáadja a
"run" = "%System%\soft.exe" értéket.
6. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
kulcsaihoz hozzáadja a
"DisableSR" = "0x00000001" értéket.
7. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
kulcsaihoz hozzáadja az
"EnableFirewall" = "0x00000001" értéket.
8. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "0x00000001"
"AUOptions" = "0x00000001" értékeket.
9. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "0x00000001"
"UpdatesDisableNotify" = "0x00000001"
"AntiVirusDisableNotify" = "0x00000001" értékeket.
10. Létrehozza az alábbi fájlokat:
%Windir%\explorer.new
%Windir%\wininit.ini.
11. Megfertőzi az explorer.exe fájlt.
12. Letölt néhány adware és betárcsázó programot az admin2cash.biz címről.
Amikor a Downloader.Admincash elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz két mutexet annak érdekében, hogy csak egy példányban fusson a rendszerben.
2. Bemásolja magát a Windows System könyvtárába .exe kiterjesztéssel és véletlenszerű fájlnévvel.
3 Létrehozza az alábbi bejegyzéseket a regisztrációs adatbázisban:
HKEY_CURRENT_USER\Software\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}
HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}
4. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run
kulcsaihoz hozzáadja a
"Web Service" = "%System%\[véletlenszerű fájlnév].exe" értéket.
5. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
kulcsaihoz hozzáadja a
"run" = "%System%\soft.exe" értéket.
6. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
kulcsaihoz hozzáadja a
"DisableSR" = "0x00000001" értéket.
7. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
kulcsaihoz hozzáadja az
"EnableFirewall" = "0x00000001" értéket.
8. A regisztrációs adatbázis
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
kulcsaihoz hozzáadja a
"NoAutoUpdate" = "0x00000001"
"AUOptions" = "0x00000001" értékeket.
9. A regisztrációs adatbázis
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
kulcsaihoz hozzáadja a
"FirewallDisableNotify" = "0x00000001"
"UpdatesDisableNotify" = "0x00000001"
"AntiVirusDisableNotify" = "0x00000001" értékeket.
10. Létrehozza az alábbi fájlokat:
%Windir%\explorer.new
%Windir%\wininit.ini.
11. Megfertőzi az explorer.exe fájlt.
12. Letölt néhány adware és betárcsázó programot az admin2cash.biz címről.
Hozzászólások