Elpman trójai

CH azonosító

CH-13109

Angol cím

Backdoor.Elpman

Felfedezés dátuma

2016.03.08.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 10, Windows 7, Windows 8, Windows 8.1,Windows 2000, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

Az Elpman trójai a hátsó kapuk létesítésére alkalmas számítógépes károkozók táborát gyarapítja. Mindössze két fájl tartozik hozzá: egy futtatható állomány, valamint egy konfigurációs fájl. Ezek segítségével teljes körűen el tudja látni a feladatát, ami alapvetően jogosulatlan távoli hozzáférés biztosításában merül ki. Ugyanakkor van egy olyan összetevője is, amely a kártevő kódjának frissítéséért felel.

Az Elpman manipulálja az Internet Explorer néhány beállítását. Így többek között a proxykkal, valamint a zónákkal kapcsolatos paramétereket sem hagyja érintetlenül.

Leírás

1. Létrehozza a következő állományt:
%AppData%RoamingPDAppFlexWinword.exe
[a trójai elérési útvonala][a trójai fájlneve].cfg

2. A regisztrációs adatbázishoz hozzáadja az alábbi értéket:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders”Startup” = “%AppData%RoamingPDAppFlex”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet Settings”ProxyEnable” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsConnections”SavedLegacySettings” = “[…]”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”UNCAsIntranet” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”AutoDetect” = “1”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”UNCAsIntranet” = “0”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsZoneMap”AutoDetect” = “1”

3. Létrehoz két mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.

4. Nyit egy hátsó kaput.

5. Interneten keresztül frissíti saját magát.

6. Várakozik a támadók parancsaira, amelyeket rögtön végrehajt.

Megoldás

  • Használjon naprakész vírusírtót!
  • Ne látogasson nem megbízható weboldalakat és ne kövessen ilyen hivatkozásokat (linkeket)!
  • Használjon offline biztonsági mentést!
  • Az eltávolításban segítséget nyújthat: Run Norton Power Eraser (NPE)