Kronbank trójai

CH azonosító

CH-11963

Angol cím

Infostealer.Kronbank

Felfedezés dátuma

2015.01.22.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Kronbank trójai az adatlopásra specializálódott kártékony programok közé sorolható. Elsősorban banki adatokra éhes, amiket webböngészőkből igyekszik összegyűjteni az adattolvajok számára. Ennek megfelelően a legelterjedtebb böngészők folyamatait fertőzi meg, majd azokat folyamatosan monitorozza. Amikor a felhasználó megnyit egy számára érdekes banki oldalt, akkor rögtön aktivizálódik, és a megadott adatokat lementi. Amint ezzel végez, akkor a megszerzett információkat feltölti a vezérlőszervereire.

A trójai nem végez sok módosítást az általa megfertőzött rendszereken. Mindig véletlenszerű fájlnevekkel kerül fel a számítógépekre, majd a regisztrációs adatbázis manipulálásával biztosítja azt, hogy a Windows újraindítása után is életképes maradjon.

Leírás

1. Létrehozza a következő állományt:
%AppData%/Microsoft/[véletlenszerű karakterek]/[véletlenszerű karakterek].exe 

2. A regisztrációs adatbázishoz hozzáadja az alábbi értéket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion”[véletlenszerű karakterek]” = “[véletlenszerű karakterek]” 

3. A regisztrációs adatbázishoz hozzáfűzi a következő bejegyzéseket:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion”[véletlenszerű karakterek]” = “[véletlenszerű karakterek]”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”[véletlenszerű karakterek]” = “%AppData%Microsoft[véletlenszerű karakterek][véletlenszerű karakterek].exe”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”[véletlenszerű karakterek]” = “%AppData%Microsoft[véletlenszerű karakterek][véletlenszerű karakterek].exe”

4. Megfertőzi a leggyakoribb webböngésző alkalmazásokat, és adatokat gyűjt elsősorban banki weboldalakról.

5. Az összegyűjtött adatokat feltölti előre meghatározott távoli kiszolgálókra.

Megoldás

Használjon vírusvédelmi programot és tűzfalat, illetve rendszeresen frissítse azokat.