Troldesh trójai

CH azonosító

CH-13445

Angol cím

Troldesh trojan

Felfedezés dátuma

2016.07.12.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

A Troldesh trójai káros kód vált ismertté, amely a felhasználó egyes fájlait titkosítja, majd megpróbálja eladni a titkosításához szükséges jelszó.

Leírás

A Troldesh trójai fájlokat titkosít, majd váltságdíjat követel a felhasználótól a helyreállításhoz szükséges adatokért cserébe. A követeléseit a Windows Asztal háttérképének módosításával közli, illetve minden érintett könyvtárba egy szöveges fájlt is bemásol a teendők leírásával. Ezeket azonban nem célszerű követni.
A Troldesh egy hosszú kiterjesztéslista alapján választja ki azokat a fájlokat, amelyeket le kell titkosítania. Többek között dokumentumok, képek, videók, zenék, adatbázisok stb. is használhatatlanná válhatnak.
A Troldesh a 80-as vagy a 443-as portokon keresztül kommunikál a vezérlőszerverével, amelyre rendszer- és hálózati információkat is képes kiszivárogtatni.

Technikai részletek:

1. Létrehozza a következő állományokat:
%APPDATA%windowscrsrss.exe
%ProgramData%driverscrsrss.exe
%TEMP%state.tmp

2. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzések egyikét:
HKLMSoftwareMicrosoftWindowsCurrentVersionRunClient Server Runtime Subsystem=”a trójai elérési útvonala”
HKLMSoftwareMicrosoftWindowsCurrentVersionRunCSRSS=”a trójai elérési útvonala”

3. A regisztrációs adatbázisban módosítja a következő értéket:
HKLMSoftwareSystemConfigi=”[véletlenszerű karakterek]”

4. Egy kiterjesztéslista alapján fájlokat kutat fel, majd titkosít.

5. A kompromittált állományok kiterjesztését az alábbiak egyikére módosítja:
.da_vinci_code
.magic_software_syndicate

6. Minden olyan mappába, amelyben legalább egy fájlt használhatatlanná tett, bemásol egy README[szám].txt nevű állományt.

7. Tor használatával egy weboldalra próbálja vezetni a felhasználót.

8. Megváltoztatja az Asztal háttérképét.

9. Kapcsolódik egy távoli kiszolgálóhoz a 80-as vagy a 443-as porton keresztül.

10. Lekérdezi a számítógép (vagy a router külső) IP-címét.

Megoldás

Használjon offline biztonsági mentést.

Hivatkozások

Egyéb referencia: isbk.hu
Egyéb referencia: www.microsoft.com


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-22224 – VMware ESXi és Workstation sérülékenysége
CVE-2025-22225 – VMware ESXi sérülékenysége
CVE-2025-22226 – VMware ESXi, Workstation és Fusion sérülékenysége
CVE-2022-43939 – Hitachi Vantara Pentaho BA Server Authorization Bypass sebezhetősége
CVE-2022-43769 – Hitachi Vantara Pentaho BA Server Special Element Injection sebezhetősége
CVE-2024-4885 – Progress WhatsUp Gold Path Traversal sebezhetősége
CVE-2018-8639 – Microsoft Windows Win32k Improper Resource Shutdown or Release sebezhetősége
CVE-2023-20025 – Cisco Small Business Routers sebezhetősége
CVE-2023-20118 – Cisco Small Business RV Series Routers Command Injection sebezhetősége
Tovább a sérülékenységekhez »