Belot trójai

CH azonosító

CH-11846

Angol cím

TrojanDownloader:Win32/Belot

Felfedezés dátuma

2014.12.02.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Microsoft

Összefoglaló

A Belot trójai a fertőzött számítógépeket igyekszik a terjesztői számára csatasorba állítani. Ennek érdekben egy hátsó kaput létesít, amelyen keresztül fogadja a támadók utasításait. Azért, hogy az elkövetők még pontosabban tudják kivitelezni a támadásaikat, a Belot minden lényeges rendszerinformációval ellátja őket. Így a bűnözők tisztába kerülnek azzal is, hogy milyen erőforrások felett tudják átvenni a hatalmat.

A Belot az Internet Explorer és a Google Chrome webböngészőnek próbálja álcázni saját magát. Többek között az Asztalra másolja fel a saját állományait, de az Internet Explorer könyvtárába is befészkeli magát. Ezt követően gondoskodik arról, hogy a számítógép újraindítása után is be tudjon töltődni. Majd ellenőrzi az internetkapcsolat meglétét, és ha mindent rendben talál, akkor nekilát a hátsó kapu kiépítésének.

Leírás

1. Létrehozza a következő állományokat:
%APPDATA%chromenet.exe
%LOCALAPPDATA%googlechromeuser dataabcextensionscaipkhppmjbppefcdohjhbniihldppbfext.dll
%ProgramFiles%internet exploreriexplore1.exe
%USERPROFILE%desktopgoogle chrome.exe
c:usersadministratorappdatalocalgooglechromeuser dataabcextensionscaipkhppmjbppefcdohjhbniihldppbfext.dll
2. A regisztrációs adatbázishoz hozzáadja az alábbi értéket:
HKCUsoftwaremicrosoftwindowscurrentversionrunchromenet=””%APPDATA%chromenet.exe” +e”
3. Megakadályozza egyes biztonsági riasztások és értesítők megjelenítését.
4. Ellenőrzi, hogy van-e élő internetkapcsolat.
5. Amennyiben tud kapcsolódni az internethez, akkor csatlakozik egy távoli kiszolgálóhoz a 80-as TCP porton keresztül.
6. Jelenti a fertőzés megtörténtét a terjesztőinek.
7. Kártékony programokat tölt le, illetve telepít fel.
8. Rendszerinformációkat gyűjt össze, illetve szivárogtat ki.
9. Nyit egy hátsó kaput, és fogadja a terjesztői által kiadott parancsokat.