Egguard trójai

CH azonosító

CH-13538

Angol cím

Trojan.Egguard

Felfedezés dátuma

2016.09.01.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

Az Egguard trójai a fertőzött számítógépre különböző ártalmas állományt tölt le és kártékony JavaScript kódot illeszt a megtekinteni kívánt honlapok forrásába.

Leírás

Az Egguard trójai WindowsSecurity nevű szolgáltatásként fut a fertőzött számítógépen. A megtévesztő elnevezés ellenére a szolgáltatás semmilyen módon sem tartozik a Windows operációs rendszer megfelelő működéséhez. 

A trójai működésképtelenné teheti a Windows Bztonsági Központot, illetve az alapértelmezett tűzfalat.

A kártékony program közbeékelődéses támadás (man-in-the-middle) lehetővé tétele érdekében SSL tanúsítványt telepít a fertőzött eszközre, amellyel a támadók lehallgathatják, vagy manipulálhatják az adatforgalmat.

Technikai részletek:

A trójai az alábbi állományokat hozza létre:

  • %ProgramData%MicrosoftNetworkDsqbrowsersyshostctl.exe
  • %ProgramData%MicrosoftNetworkDsqchromelibvlc.dll
  • %ProgramData%MicrosoftNetworkDsqchromevlc.exe
  • %ProgramData%MicrosoftNetworkDsqchromework.dll
  • %ProgramData%MicrosoftNetworkDsqfuncca.crt
  • %ProgramData%MicrosoftNetworkDsqfuncca.key
  • %ProgramData%MicrosoftNetworkDsqfunccert8.db
  • %ProgramData%MicrosoftNetworkDsqfunccertutil.exe
  • %ProgramData%MicrosoftNetworkDsqfuncfreebl3.dll
  • %ProgramData%MicrosoftNetworkDsqfunckey3.db
  • %ProgramData%MicrosoftNetworkDsqfunclibnspr4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibplc4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibplds4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibvlc.dll
  • %ProgramData%MicrosoftNetworkDsqfuncmsvcr100.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnss3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssckbi.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssdbm3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssutil3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsecmod.db
  • %ProgramData%MicrosoftNetworkDsqfuncsmime3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsoftokn3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsqlite3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncssl3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncvlc.exe
  • %ProgramData%MicrosoftNetworkDsqfuncwork.dll
  • %ProgramData%MicrosoftNetworkDsqnetworkca.crt
  • %ProgramData%MicrosoftNetworkDsqnetworkca.key
  • %ProgramData%MicrosoftNetworkDsqnetworkdefault_cse.js
  • %ProgramData%MicrosoftNetworkDsqnetworkgeneral.js
  • %ProgramData%MicrosoftNetworkDsqnetworksysnetwk.exe
  • %ProgramData%Windows Securitywinsecurity.exe

A következő bejegyzést teszi a registery-ben:

HKEY_LOCAL_MACHINESOFTWAREClientsMailChannelId = “egg19” 

A trójai a [http://]85.195.78.241/36/dsq64_30[REMOVED] címről tölti le a további fertőzés céljából szükséges rosszindulatú fájlokat.


Legfrissebb sérülékenységek
CVE-2023-4863 – Google Chrome sérülékenysége
CVE-2023-40186 – FreeRDP sérülékenysége
CVE-2023-20890 – VMware Aria Operations For Networks sérülékenysége
CVE-2023-34039 – VMware Aria Operations for Networks sérülékenysége
CVE-2023-23770 – Motorola MBTS Site Controller sérülékenysége
CVE-2023-38388 – JupiterX Core Premium WordPress Plugin sérülékenysége
CVE-2023-38831 – RARLabs WinRAR sérülékenysége
CVE-2023-38035 – Ivanti Sentry sérülékenysége
CVE-2023-20212 – ClamAV sérülékenysége
CVE-2023-36847 – Juniper Networks Junos OS sérülékenysége
Tovább a sérülékenységekhez »