Trójai hátsó szándékokkal

Az Amanap.C trójai a hagyományos, hátsó kapukat létesítő kártékony programok közé tartozik. A trójai a Windowsban egy Secdrv nevű szolgáltatást hoz létre, amelynek segítségével az operációs rendszer minden egyes betöltődésekor automatikusan el tud indulni. A kártevő a szolgáltatást a regisztrációs adatbázis gondos módosítgatásával konfigurálja be.

Az Amanap.C által nyitott hátsó kapun keresztül a támadók az alábbi műveleteket hajthatják végre:
1. Weboldalak letöltése
2. Adatok beolvasása távoli szerverekről
3. A regisztrációs adatbázis módosítása
4. Rootkit technikák használata

Amikor az Amanap.C trójai elindul, akkor az alábbi műveleteket hajtja végre:

1. A regisztrációs adatbázisban létrehozza a következő bejegyzéseket:
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\Control\*NewlyCreated* = 0x00000000
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\Control\ActiveService = "Secdrv"
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\Service = "Secdrv"
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\Legacy = 0x00000001
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\ConfigFlags = 0x00000000
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\Class = "LegacyDriver"
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\ClassGUID = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECDRV\0000\DeviceDesc = "Secdrv"

Ezzel létrehoz egy Secdrv nevű windowsos szolgáltatást.

2. A regisztrációs adatbázisban módosítja az alábbi bejegyzéseket:
HKLM\SYSTEM\ControlSet001\Services\seictrl\ImagePath = "%System%\rundll32.exe dbi102.dll,scan"
HKLM\SYSTEM\ControlSet001\Services\seictrl\DisplayName = "Security Control"

3. Létrehoz egy mutexet annak érdekében, hogy egyszerre csak egy példányban fusson a kiszemelt rendszeren.

4. Nyit egy hátsó kaput, és várakozik a támadók parancsaira.