Gmail jelszavakat lopkod a Geemarc trójai

A Geemarc trójai számos fájl létrehozása után módosítja a regisztrációs adatbázist. Az új állományok esetében véletlenszerű karaktereket is felhasznál, így némiképp nehezebbé válhat az azonosítása. Viszont fontos ismertető jele, hogy minden esetben a Program Files könyvtárba egy MateMedia nevű mappát hoz létre, és egy G-Archiver nevű alkalmazásnak próbálja "kiadni" magát.

A Geemarc legfőbb célja, hogy a felhasználó internetes tevékenységének figyelésével különböző felhasználónevekhez és jelszavakhoz jusson hozzá. A kártevő elsősorban a Gmail postafiókokhoz tartozó belépési információk megszerzésére specializálódott.

Amikor a Geemarc trójai elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő fájlokat:
%UserProfile%\Desktop\G-Archiver 1.0.lnk
%UserProfile%\Start Menu\Programs\MateMedia\G-Archiver\G-Archiver 1.0.lnk
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-Archive\Banner.gif
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-Archiver 1.0.exe
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-ArchiverIcon.ico
%ProgramFiles%\MateMedia\G-Archiver 1.0\License.rtf
%ProgramFiles%\MateMedia\G-Archiver 1.0\Mail.dll
%ProgramFiles%\MateMedia\G-Archiver 1.0\SM.dll
%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_6FEFF9B68218417F98F549.exe
%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_72F4B9A3636570A0827CE3.exe
%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_A01885BE201430C921BA79.exe

2. Létrehozza az alábbi könyvtárakat és fájlokat:
%Windir%\Installer
%Windir%\Installer\[véletlenszerű karakterek].msi
%Windir%\Installer\[véletlenszerű karakterek].msi

3. Átmeneti fájlokat készít a %UserProfile%\Local Settings\Temp könyvtárba.

4. A regisztrációs adatbázisban létrehozza a következő bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Installer\Assemblies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{CE5F519C-E1E6-4DBC-9466-233F156244C7}
HKEY_LOCAL_MACHINE\Software\Classes\Installer\Assemblies
HKEY_CURRENT_USER\Software\Microsoft\Installer\Products\C915F5EC6E1ECBD4496632F35126447C
HKEY_CURRENT_USER\Software\Microsoft\Installer\UpgradeCodes\DC62B62C2A90373449E4936579767009
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\"MateMedia" = " "
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\MateMedia\"G-Archiver 1.0" = " "
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\MateMedia\G-Archiver 1.0\"G-Archive" = " "
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\DocumentsandSettings\AllUsers\StartMenu\Programs\"MateMedia " = " "
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\DocumentsandSettings\AllUsers\StartMenu\Programs\MateMedia\"G-Archiver " = " "
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Windows\Installer\"{CE5F519C-E1E6-4DBC-9466-233F156244C7}" = " "

5. Gmailben létrehozott postafiókokhoz tartozó felhasználóneveket és jelszavakat próbál megszerezni.