Trojan.Cidox.C

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Windows 7
Windows Vista
Windows XP

Összefoglaló

A Cidox.C egy trójai típusú kártevő. Hasonló károkozók mintájára az adatlopásra kifinomult módszereket alkalmaz. Célja, hogy ne legyen nyoma az operációs rendszerben, folyamatosan szivárogtatja az adatokat és a háttérben fut. A víruskeresőket képes megtéveszteni.

A Cidox.C először a boot szektort manipulálja, majd a számítógépről eltávolítja az eredeti állományt és utána újraindítja a számítógépet. Az újraindítást követően rögtön betöltődik a módosított boot szektor segítségével. A billentyűleütéseket folyamatosan figyeli és mellette rendszerinformációkat is lekérdez. A saját virtuális fájlrendszerére lementi az összegyűjtött adatokat, és a terjesztői által megadott időközönként a megszerzett információkat a meghatározott kiszolgálókra feltölti.

Leírás

1.A következő állományokat hozza létre:
%System%driversjwivs.sys
%System%driversyurip.sys
2.Az alábbi bejegyzéseket hozzáadja a regisztrációs adatbázishoz:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesjwivs
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesyurip
3.A boot szektort manipulálja.
4.A következő állományt hozza létre:
%System%[véletlenszerű karakterek].bin
5.Az eredeti állományát eltávolítja, majd újraindítja a számítógépet.
6.Azonnal betöltődik a memóriába a boot szektort érintő módosításai miatt.
7.A billentyűleütéseket folyamatosan naplózza.
8.A saját virtuális fájlrendszerére lementi az összegyűjtött adatokat.
9.Összegyűjti a rendszerinformációkat:
– a merevlemezzel kapcsolatos információk
– felhasználónév
– a számítógép neve
– az operációs rendszer verziója
10.Egy távoli kiszolgálóra feltölti az összegyűjtött adatokat.

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.symantec.com