Korplug.B trójai kémprogram

2013. november 27. 14:55

CH azonosító

CH-10052

Angol cím

Korplug.B

Felfedezés dátuma

2013.11.19.

Súlyosság

Alacsony

Érintett rendszerek

Mozilla

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Korplug.B trójai kémprogram, amely billentyűleütéseket folyamatosan naplózza és kiszívárogtatja.

Leírás

A Korplug.B trójai kémprogram amely billentyűleütéseket folyamatosan naplózza és kiszívárogtatja. A naplózott adatokat megadott időközönként továbbítja a terjesztői számára. A kémprogram megtévesztésként úgy tűnteti fel saját magát, mintha egy Mozilla szolgáltatás lenne. A Windows feladatkezelőjében sem jelenik meg, mert az operációs rendszer egyik folyamatát is megferőzi. Manuális eltávolítása nehéz a regisztrációs adatbázisban létrehozott sok bejegyzés miatt.

Részletek:

1. Könyvtárakat és állományokat hoz létre:
%AllUsersProfile%Mozilla
%AllUsersProfile%SxS
%AllUsersProfile%MozillaWINMM.dll

2. billentyűleütéseket naplózó állományt hoz létre:
%AllUsersProfile%MozillaTrend2013.dat

3. A Mozilla könyvtárába bemásolja a következő állományt:
%AllUsersProfile%MozillaWINMM.dll.rom

4. A regisztrációs adatbázist módosítja az alábbi kulcsokkal:
HKEY_LOCAL_MACHINESOFTWAREClassesFAST
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000Control
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceSecurity
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceEnum

5. A regisztrációs adatbázishoz hozzáadja a következő értékeket:
HKEY_LOCAL_MACHINESOFTWAREClassesFASTCLSID: […]
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000Control”*NewlyCreated*” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″Service” = “Mozilla Maintenance”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″Legacy” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″ConfigFlags” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″Class” = “LegacyDriver”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE000″DeviceDesc” = “Mozilla Maintenance Service”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_MOZILLA_MAINTENANCE”NextInstance” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceEnum”0″ = “RootLEGACY_MOZILLA_MAINTENANCE000”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceEnum”Count” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceEnum”NextInstance” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla MaintenanceSecurity”Security” = “[…]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”Type” = “272”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”Start” = “2”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”ErrorControl” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”ImagePath” = “%AllUsersProfile%MozillaDNSBench.exe”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”DisplayName” = “Mozilla Maintenance Service”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”ObjectName” = “LocalSystem”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMozilla Maintenance”Description” = “Mozilla Maintenance Service”