Egguard trójai

CH azonosító

CH-13538

Angol cím

Trojan.Egguard

Felfedezés dátuma

2016.09.01.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

Az Egguard trójai a fertőzött számítógépre különböző ártalmas állományt tölt le és kártékony JavaScript kódot illeszt a megtekinteni kívánt honlapok forrásába.

Leírás

Az Egguard trójai WindowsSecurity nevű szolgáltatásként fut a fertőzött számítógépen. A megtévesztő elnevezés ellenére a szolgáltatás semmilyen módon sem tartozik a Windows operációs rendszer megfelelő működéséhez. 

A trójai működésképtelenné teheti a Windows Bztonsági Központot, illetve az alapértelmezett tűzfalat.

A kártékony program közbeékelődéses támadás (man-in-the-middle) lehetővé tétele érdekében SSL tanúsítványt telepít a fertőzött eszközre, amellyel a támadók lehallgathatják, vagy manipulálhatják az adatforgalmat.

Technikai részletek:

A trójai az alábbi állományokat hozza létre:

  • %ProgramData%MicrosoftNetworkDsqbrowsersyshostctl.exe
  • %ProgramData%MicrosoftNetworkDsqchromelibvlc.dll
  • %ProgramData%MicrosoftNetworkDsqchromevlc.exe
  • %ProgramData%MicrosoftNetworkDsqchromework.dll
  • %ProgramData%MicrosoftNetworkDsqfuncca.crt
  • %ProgramData%MicrosoftNetworkDsqfuncca.key
  • %ProgramData%MicrosoftNetworkDsqfunccert8.db
  • %ProgramData%MicrosoftNetworkDsqfunccertutil.exe
  • %ProgramData%MicrosoftNetworkDsqfuncfreebl3.dll
  • %ProgramData%MicrosoftNetworkDsqfunckey3.db
  • %ProgramData%MicrosoftNetworkDsqfunclibnspr4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibplc4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibplds4.dll
  • %ProgramData%MicrosoftNetworkDsqfunclibvlc.dll
  • %ProgramData%MicrosoftNetworkDsqfuncmsvcr100.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnss3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssckbi.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssdbm3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncnssutil3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsecmod.db
  • %ProgramData%MicrosoftNetworkDsqfuncsmime3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsoftokn3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncsqlite3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncssl3.dll
  • %ProgramData%MicrosoftNetworkDsqfuncvlc.exe
  • %ProgramData%MicrosoftNetworkDsqfuncwork.dll
  • %ProgramData%MicrosoftNetworkDsqnetworkca.crt
  • %ProgramData%MicrosoftNetworkDsqnetworkca.key
  • %ProgramData%MicrosoftNetworkDsqnetworkdefault_cse.js
  • %ProgramData%MicrosoftNetworkDsqnetworkgeneral.js
  • %ProgramData%MicrosoftNetworkDsqnetworksysnetwk.exe
  • %ProgramData%Windows Securitywinsecurity.exe

A következő bejegyzést teszi a registery-ben:

HKEY_LOCAL_MACHINESOFTWAREClientsMailChannelId = “egg19” 

A trójai a [http://]85.195.78.241/36/dsq64_30[REMOVED] címről tölti le a további fertőzés céljából szükséges rosszindulatú fájlokat.


Legfrissebb sérülékenységek
CVE-2022-44580 – RichPlugins Plugin For Google Reviews for WordPress sérülékenysége
CVE-2023-23421 – Microsoft Windows sérülékenysége
CVE-2023-23422 – Microsoft Windows sérülékenysége
CVE-2023-23420 – Microsoft Windows sérülékenysége
CVE-2023-23423 – Microsoft Windows sérülékenysége
CVE-2022-39214 – Combodo iTop (aka IT Operations Portal) sérülékenysége
CVE-2022-39216 – Combodo iTop (aka IT Operations Portal), Combodo iTop (aka IT Operations Portal) Community Edition sérülékenysége
CVE-2023-27501 – sap / netweaver application server abap, SAP NetWeaver Application Server ABAP sérülékenysége
CVE-2023-26360 – Adobe ColdFusion Improper Access Control sérülékenysége
CVE-2023-23397 – Microsoft Office Outlook sérülékenysége
Tovább a sérülékenységekhez »