Összefoglaló
A Proslikefan.B féreg kártékony weboldalakon keresztül terjed. Ahhoz, hogy a különféle nemkívánatos állományai felkerülhessenek a célkeresztbe állított rendszerekre, néhány JavaScriptet vet be. Mivel a készítői egy időalapú mechanizmussal is ellátták, ezért interneten keresztül lekérdezi a pontos időt, és ha 2014. január 1. utáni időszakot észlel, akkor aktivizálódik. Amennyiben minden feltétel adott a működéséhez, akkor feltérképezi a cserélhető meghajtókat és az operációs rendszer legfontosabb paramétereit.
Leírás
A Proslikefan.B nem okoz kárt virtuális gépeken, ugyanis az ilyen környezetek észlelésekor azonnal leállítja a saját folyamatait. Többek között ezzel próbálja megnehezíteni az elemzését. A jelenlétét különféle rendszerbeállítások módosításával és megtévesztő parancsikonok létrehozásával igyekszik leplezni.
1. Létrehozza a következő állományokat:
%meghajtó betűjele%:.Trashes[véletlenszerű karakterek][véletlenszerű karakterek].js
%UserProfile%Local SettingsTemp[véletlenszerű karakterek].js
%UserProfile%[véletlenszerű karakterek].js
%UserProfile%AppDataRoaming[véletlenszerű karakterek].js
2. Minden cserélhető adathordozón létrehoz egy .Trashes[véletlenszerű karakterek] mappát.
3. Felmásolja a rendszerre az alábbi fájlokat:
%UserProfile%[véletlenszerű fájlnév].exe
%UserProfile%AppDataRoaming[véletlenszerű fájlnév].exe
4. A regisztrációs adatbázisban módosítja a következő állományokat:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvancedHidden = 1 or 2
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvancedShowSuperHidden = 0 or 1
5. Interneten keresztül lekérdezi a pontos időt.
6. Ellenőrzi, hogy a rendszerdátum 2014. január 1-nél nagyobb-e.
7. Csatlakozik a vezérlőszerveréhez.
8. Leállítja saját magát, amennyiben virtuális gépre utaló jeleket észlel.
9. Különféle folyamatokat állít le.
10. Módosít egyes fájlokhoz beállított jogosultságokon.
11. Interneten keresztül frissíti a saját állományait.
12. Rendszerinformációkat gyűjt össze.
13. Parancsikonokat hoz létre a Start menübe:
%SystemDrive%ProgramDataMicrosoftWindowsStart MenuProgramsStartupWindows Explorer.lnk
%UserProfile%Start MenuProgramsStartupWindows Explorer.lnk
%UserProfile%]AppDataRoamingMicrosoftWindowsStart MenuProgramsStartupWindows Explorer.lnk
Támadás típusa
Manipulation of dataSecurity bypass (Biztonsági szabályok megkerülése)
System access (Rendszer hozzáférés)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.symantec.com
Egyéb referencia: www.isbk.hu