Busadom.B trójai

CH azonosító

CH-13021

Angol cím

Downloader.Busadom.B

Felfedezés dátuma

2016.02.02.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 2000, Windows 7, Windows 8, Windows 8.1, Windows 10, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Busadom.B trójai elsődleges feladata, hogy a számítógépek megfertőzését követően azokról lehetőleg minél pontosabb adatokkal szolgáljon. Ennek megfelelően lekérdezi a hardverre és az operációs rendszerre vonatkozó legfontosabb paramétereket, amelyeket kiszivárogtat a terjesztői számára. A vírusterjesztők ezen információk felhasználásával pontosan láthatják azt, hogy milyen típusú és milyen teljesítményű számítógépeket sikerült megfertőzniük. Mivel a károkozó a területi beállításokat is lementi, ezért földrajzi szempontból is képet kaphatnak a fertőzések eloszlásáról.

A Busadom.B trójai egy Windows Helper Service nevű szolgáltatásként fut az áldozatául eső számítógépeken. E szolgáltatás révén észrevétlenül hajtja végre az adatszivárogtatást. Eközben pedig időnként más ártalmas programokat is feljuttat a PC-kre, amelyek további károkozások alapjául szolgálhatnak.

Leírás

1. A regisztrációs adatbázist kiegészíti a következő bejegyzéssel:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”WinHelpSrv” = “[a trójai elérési útvonala és fájlneve]”

2. Létrehoz egy Windows-os szolgáltatást Windows Helper Service néven az alábbiak szerint:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWinHelpSrv”DisplayName” = “Windows Helper Service”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWinHelpSrv”Description” = “This is windows helper service. Include windows update and windows error”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWinHelpSrvParameters”ServiceDll” = “[…]”

3. Csatlakozik egy vezérlőszerverhez a 80-as vagy a 433-as TCP porton keresztül.

4. Összegyűjti az alábbi rendszerinformációkat:
– processzor típusa
– a számítógép neve
– memóriakapacitás
– az operációs rendszer verziószáma
– területi beállítások
– képernyőfelbontás
– felhasználónév

5. Az összegyűjtött adatokat kiszivárogtatja.

6. További ártalmas programokat tölt le.

Megoldás