Carberp.I trójai

CH azonosító

CH-12042

Angol cím

Trojan:Win32/Carberp.I

Felfedezés dátuma

2015.03.02.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Carberp trójai “I” betűjelű variánsa önmagában nem okoz túlságosan nagy felfordulást a rendszereken, azonban közvetett módon komolyabb károkhoz is hozzájárulhat. A kártékony program ugyanis vírusterjesztésben vállal szerepet, és távoli kiszolgálókról való fájlletöltéssel segíti a kiberbűnözőket.

A Carberp esetében a felismerés jelenti a legnagyobb kihívást. Megfelelően frissített víruskeresők hiányában ugyanis a károkozó meglehetősen hatékonyan képes rejtőzködni. Alapvetően egy olyan Windows-os szolgáltatásként fut a háttérben, amely első ránézésre egy NVIDIA frissítési megoldáshoz tartozik. A valóságban azonban ez csak álca.

A Carberp a fájlok átmeneti tárolására szolgáló Temp könyvtárba tölti le a nemkívánatos fájlokat, és onnan telepíti azokat.

Leírás

1. Létrehozza a következő könyvtárakat:
%ProgramFiles%NVIDIA CorporationUpdates
%ProgramFiles%NVIDIA CorporationUpdate Center

2. A fenti mappákba bemásolja magát nvupd32.exe vagy NvdUpd.exe néven.

3. A regisztrációs adatbázist kiegészíti az alábbi értékkel:
HKCUSoftwareNVIDIA CorporationGlobalnvUpdSrvvalue=”[véletlenszerű karakterek]”

4. Létrehoz egy NVIDIA Update Server nevű Windows-os szolgáltatást.

5. Ellenőrzi, hogy van-e elő internetkapcsolat.

6. Jelenti a fertőzés megtörténtét a terjesztőinek.

6. Kapcsolódik egy távoli kiszolgálóhoz.

7. További kártékony fájlokat tölt le a Windows Temp könyvtárába.

Megoldás

  • Teljes rendszervizsgálat egy naprakész adatbázisú vírusírtóval.
  • Egyéb eszközök az eltávolításhoz:
  1. Norton Power Eraser Tool  (A program agresszív technikákat alkalmaz, így érdemes átnézni a törlésre kiválasztott programok listáját, nehogy egy tiszta programot távolítson el.)https://security.symantec.com/nbrt/npe.aspx?lcid=1033
  2. Symantec Power Eraser (SymHelp)  http://www.symantec.com/techsupp/home_homeoffice/products/sep/SymHelp.exe