Nurjax

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Microsoft Windows

Összefoglaló

A Nurjax trójai elsősorban a felhasználó webböngészési szokásait kémleli. Ennek során töretlenül figyelemmel kíséri a fertőzött számítógépről megnyitott weboldalakat. Bizonyos weblapok esetén átirányításokat hajt végre egy kártékony weboldalra. Így például a Google keresésekkor vagy az AOL weboldalainak megtekintésekor is aktivizálódik, és nemkívánatos webhelyekre vezeti a felhasználót. Egyéb weblapok esetén pedig egy hivatkozást szúr be a megjelenő oldalba.

Leírás

A Nurjax elsősorban a Program Files mappába általa létrehozott NJax nevű könyvtárba másolja be a saját fájljait, majd sok ponton manipulálja a regisztrációs adatbázist. Eközben néhány Windows-os szolgáltatást is beregisztrál, amikkel biztosítja, hogy a háttérben zavartalanul futhasson.

1. Létrehozza a következő állományokat:
%ProgramFiles%NJaxNJax.exe
%ProgramFiles%NJaxProtocolFilters.dll
%ProgramFiles%NJaxlibeay32.dll
%ProgramFiles%NJaxnfapi.dll
%ProgramFiles%NJaxnfregdrv.exe
%ProgramFiles%NJaxssleay32.dll
%ProgramFiles%NJaxuninstall_njax.exe
%System%driversmosfilterdrv.sys
%Temp%NJaxSSLNJax Intermediate SSL.cer
%Temp%NJaxSSLNJax Intermediate SSL.pvk

2. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”DisplayName” = “NJax”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”ErrorControl” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”ImagePath” = “%ProgramFiles%NJaxNJax.exe”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”ObjectName” = “LocalSystem”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”Start” = “2”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJax”Type” = “16”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNJaxSecurity”Security” = “[BINARY DATA]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”DisplayName” = “mosfilterdrv”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”ErrorControl” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”Group” = “PNP_TDI”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”ImagePath” = “system32driversmosfilterdrv.sys”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”Start” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”Tag” = “9”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrv”Type” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmosfilterdrvSecurity”Security” = “[BINARY DATA]”

3. Létrehoz két Windows-os szolgáltatást a következők szerint:
mosfilterdrv (%System%driversmosfilterdrv.sys)
NJax (%ProgramFiles%NJaxNJax.exe)

4. A regisztrációs adatbázisba beszúrja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV
“NextInstance” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000
“Class” = “LegacyDriver”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000

“ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000
“ConfigFlags” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000
“DeviceDesc” = “mosfilterdrv”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000
“Legacy” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOSFILTERDRV000
“Service” = “mosfilterdrv”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX”NextInstance” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″Class” = “LegacyDriver”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″ConfigFlags” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″DeviceDesc” = “NJax”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″Legacy” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_NJAX000″Service” = “NJax”

5. Módosítja az Internet Explorer beállításait:
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionInternet SettingsConnections”SavedLegacySettings” = “[BINARY DATA]”

6. Létrehozza az alábbi értékeket a regisztrációs adatbázisban:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“Comments” = “Browse safe online with our product! It alerts you if a page is harmful for your computer (Build ID: rSRyjmkbAFar8QUk)”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“DisplayName” = “NJax”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“DisplayVersion” = “1.1.0”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“Publisher” = “NINJASOFT LLC”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“QuietUninstallString” = “”%ProgramFiles%NJaxuninstall_njax.exe” S”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstallNJax
“UninstallString” = “”%ProgramFiles%NJaxuninstall_njax.exe” S”
HKEY_LOCAL_MACHINESOFTWARENJax”InstID” = “rOb0MBQXandPo6jVmKF4liSfWieXYvDD”
HKEY_LOCAL_MACHINESOFTWARENJax”Version” = “1.1.0”

7. Csatlakozik egy előre meghatározott távoli kiszolgálóhoz.

8. Letölt egy fájlt, amelyet az alábbiak szerint ment le:
%Temp%P_RuleList.txt

9. Folyamatosan monitorozza a webböngészést, és bizonyos weboldalak esetén átirányításokat hajt végre.

10. Manipulálja a webböngészőben megjelenő oldalakat, amelyekbe egy hivatkozást szúr be.

11. Letölt egy további állományt az alábbiak szerint:
%Temp%nj_update.exe

12. Ellenőrzi, hogy a számítógépen fut-e Avast védelmi alkalmazás.

Megoldás

Vírusirtó segítségével távolítsa el a fertőzést.

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.isbk.hu