Összefoglaló
Az Elpman trójai a hátsó kapuk létesítésére alkalmas számítógépes károkozók táborát gyarapítja. Mindössze két fájl tartozik hozzá: egy futtatható állomány, valamint egy konfigurációs fájl. Ezek segítségével teljes körűen el tudja látni a feladatát, ami alapvetően jogosulatlan távoli hozzáférés biztosításában merül ki. Ugyanakkor van egy olyan összetevője is, amely a kártevő kódjának frissítéséért felel.
Az Elpman manipulálja az Internet Explorer néhány beállítását. Így többek között a proxykkal, valamint a zónákkal kapcsolatos paramétereket sem hagyja érintetlenül.
Leírás
1. Létrehozza a következő állományt:
%AppData%RoamingPDAppFlexWinword.exe
[a trójai elérési útvonala][a trójai fájlneve].cfg
2. A regisztrációs adatbázishoz hozzáadja az alábbi értéket:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders”Startup” = “%AppData%RoamingPDAppFlex”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet Settings”ProxyEnable” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsConnections”SavedLegacySettings” = “[…]”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”UNCAsIntranet” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”AutoDetect” = “1”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”UNCAsIntranet” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”AutoDetect” = “1”
3. Létrehoz két mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.
4. Nyit egy hátsó kaput.
5. Interneten keresztül frissíti saját magát.
6. Várakozik a támadók parancsaira, amelyeket rögtön végrehajt.
Megoldás
- Használjon naprakész vírusírtót!
- Ne látogasson nem megbízható weboldalakat és ne kövessen ilyen hivatkozásokat (linkeket)!
- Használjon offline biztonsági mentést!
- Az eltávolításban segítséget nyújthat: Run Norton Power Eraser (NPE)
Támadás típusa
Information disclosure (Információ/adat szivárgás)Manipulation of data
Trójai
backdoor
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.symantec.com
Egyéb referencia: isbk.hu