Ellentmondásos vírus
Kristóf Csaba,
2006. május 12. -
Vírusvédelem
Hír küldése
Az Agentdoc trójai meglehetősen ellentmondásosan működik, ugyanis miután egy Word dokumentum révén felhívja magára a figyelmet, megpróbál a lehető legjobban elrejtőzni a fertőzött számítógépeken.
Az Agentdoc trójai amikor rákerül egy számítógépre, akkor azon létrehoz egy japán szöveget tartalmazó Word dokumentumot, majd megnyitja azt. Ezt követően azonban gyorsan megpróbál elrejtőzni a kiszemelt számítógépeken. Ahhoz, hogy elrejtse a fájljait illetve a regisztrációs adatbázisban létrehozott bejegyzéseit különböző rootkit technikákat is felhasznál. A trójai legfőbb feladata, hogy a háttérben folyamatosan figyelje a billentyűleütéseket, és azokat naplózza egy állományba.
Amikor az Agentdoc elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz egy Word dokumentumot, és megnyitja azt. A dokumentum japán nyelvű szöveget tartalmaz.
2. Létrehozza a következő fájlokat:
%UserProfile%\Local Settings\Temp\abs.exe
%System%\mrxgbaxv.dll
%System%\mrxgbaxv.drv
%System%\drivers\mrxgbaxv.sys
%System%\mrxgbaxv.log
3. Létrehoz egy mrxgbaxv nevű szolgáltatást.
4. A regisztrációs adatbázisba beszúrja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\ControlSet003\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet003\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\LEGACY_MRXGBAXV
5. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sens\Parameters
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Sens\Parameters
kulcsához hozzáadja a
"ServiceDll" = "%SystemRoot%\System32\mrxgbaxv.dll" értéket.
6. Különböző rootkit technikák révén elrejti a saját fájljait illetve bejegyzéseit.
7. Folyamatosan naplózza a billentyűleütéseket egy %System%\mrxgbaxv.log állományba.
8. Letölt egy fájlt az Internetről, majd elindítja azt.
Amikor az Agentdoc elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehoz egy Word dokumentumot, és megnyitja azt. A dokumentum japán nyelvű szöveget tartalmaz.
2. Létrehozza a következő fájlokat:
%UserProfile%\Local Settings\Temp\abs.exe
%System%\mrxgbaxv.dll
%System%\mrxgbaxv.drv
%System%\drivers\mrxgbaxv.sys
%System%\mrxgbaxv.log
3. Létrehoz egy mrxgbaxv nevű szolgáltatást.
4. A regisztrációs adatbázisba beszúrja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\ControlSet003\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\ControlSet003\Enum\Root\LEGACY_MRXGBAXV
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\mrxgbaxv
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\LEGACY_MRXGBAXV
5. A regisztrációs adatbázis
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sens\Parameters
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Sens\Parameters
kulcsához hozzáadja a
"ServiceDll" = "%SystemRoot%\System32\mrxgbaxv.dll" értéket.
6. Különböző rootkit technikák révén elrejti a saját fájljait illetve bejegyzéseit.
7. Folyamatosan naplózza a billentyűleütéseket egy %System%\mrxgbaxv.log állományba.
8. Letölt egy fájlt az Internetről, majd elindítja azt.
Hozzászólások