Castov.B trójai vírus

CH azonosító

CH-9667

Angol cím

Castov.B Trojan virus

Felfedezés dátuma

2013.08.10.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows 7
Windows Vista
Windows XP

Érintett verziók

Windows 7, Windows Vista, Windows XP,

Összefoglaló

A Castov.B egy olyan trójai vírus, amely rosszindulatú szoftvereket tölt le a kompromittálódott számítógépre.

Leírás

A Castov.B egy olyan trójai vírus, amely rosszindulatú szoftvereket tölt le a kompromittálódott számítógépre.

Technikai részletek:

1. Amikor a trójai program elindul, a következő fájlokat hozza létre:

  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}config.ini
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}libeay32.dll
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}ssleay32.dll
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}alg.exe
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}spoolsv.exe
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}svchost.exe
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}mdm.exe
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}svchost.exe
  • %UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}mdm.exe

2. A következő könyvtárakat is létrehozza:

  • %UserProfile%Application Datatorlock
  • %UserProfile%Application Datatorstate

3. Ezek után a trojan létrehozza a következő bejegyzések egyikét, így automatikusan elindul minden Windows induláskor:

  • HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”svchost” = “”%UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}svchost.exe””
  • HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”mdm” = “”%UserProfile%Application DataIdentities{d79365c0-2a26-11e0-87a4-806d6172696f}mdm.exe””

4. Az ipaddress.com-ra való csatlakozás segítségével megszerzi a fertőzőtt számítógép IP címét.

5. Megpróbál Tor hálózatokhoz hozzáférni a következő URL-ek használatával:

  • ku6pguniacuqnm3c.onion/board
  • lk4nl7vviytvlktd.onion/board
  • x3xropcdiuxdzbxv.onion/board
  • qeds5bly62m2ltpn.onion/board
  • ty3btaznplsswtar.onion/board
  • e53hzrlshoj374vl.onion/board

6. A trójai további kártékony fájlokat tölthet le a fertőzött számítógépre.