Chikdos.A Trójai

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Vista, Windows XP

Összefoglaló

A Chikdos.A trójai működése során, kiszolgáltatottá teszi a a fertőzött rendszert a támadók számára.

Leírás

Ez a trójai annak érdekében, hogy zavartalanul futhasson egy Windows szolgáltatást hoz létre, így újraindítást követően is automatikusan indul. Működése során egy hátsó ajtót létesít a biztonsági rendszeren, ezen keresztül tudja fogadni a támadó szerverről érkező utasításokat, így gyakran elosztott szolgáltatás megtagadásos támadásra használják a sérült rendszert.

Technikai részletek:

1. Létrehozza a következő állományokat:
%ProgramFiles%DbProtectSupportfake.cfg
%ProgramFiles%DbProtectSupportsvchost.exe

2. Létrehoz egy Windows-os szolgáltatást “LocalSystem” néven.

3. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupportSecurity”Security” = “[HEXADECIMAL VALUE]”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”Type” = “dword:00000010”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”Start” = “dword:00000002”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ObjectName” = “LocalSystem”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ImagePath” = “expand:”%PROGRAMfILES%DbProtectSupportsvchost.exe”
HKEY_LOCAL_MACHINEsystemCurrentControlSetServices
DbProtectSupport”ErrorControl” = “dword:00000001”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Service” = “DbProtectSupport”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Legacy” = “dword:00000001”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″DeviceDesc” = “DbProtectSupport”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″ConfigFlags” = “dword:00000000”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT000″Class” = “LegacyDriver”
HKEY_LOCAL_MACHINEsystemCurrentControlSetEnumRoot
LEGACY_DBPROTECTSUPPORT”NextInstance” = “dword:00000001”

4. Csatlakozik a “cn0803.aiwooolsf.com” távoli kiszolgálóhoz az 59870-es TCP porton keresztül.

5. Feltölti a szerverre a processzorral, valamint a hálózattal összefüggő információkat.

6. Elosztott szolgáltatásmegtagadási támadásokban vállalhat szerepet.

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.symantec.com