Chikdos.A Trójai

2014. január 3. 14:06

CH azonosító

CH-10281

Angol cím

Trojan.Chikdos.A

Felfedezés dátuma

2013.12.15.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Vista, Windows XP

Összefoglaló

A Chikdos.A trójai működése során, kiszolgáltatottá teszi a a fertőzött rendszert a támadók számára.

Leírás

Ez a trójai annak érdekében, hogy zavartalanul futhasson egy Windows szolgáltatást hoz létre, így újraindítást követően is automatikusan indul. Működése során egy hátsó ajtót létesít a biztonsági rendszeren, ezen keresztül tudja fogadni a támadó szerverről érkező utasításokat, így gyakran elosztott szolgáltatás megtagadásos támadásra használják a sérült rendszert.

Technikai részletek:

1. Létrehozza a következő állományokat:
%ProgramFiles%DbProtectSupportfake.cfg
%ProgramFiles%DbProtectSupportsvchost.exe

2. Létrehoz egy Windows-os szolgáltatást “LocalSystem” néven.

3. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupportSecurity”Security” = “[HEXADECIMAL VALUE]”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”Type” = “dword:00000010”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”Start” = “dword:00000002”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ObjectName” = “LocalSystem”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ImagePath” = “expand:”%PROGRAMfILES%DbProtectSupportsvchost.exe”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ErrorControl” = “dword:00000001”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Service” = “DbProtectSupport”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Legacy” = “dword:00000001”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″DeviceDesc” = “DbProtectSupport”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″ConfigFlags” = “dword:00000000”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Class” = “LegacyDriver”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT”NextInstance” = “dword:00000001”