Összefoglaló
A Poweliks.B trójai a felhasználó tudta nélkül keres pénzt a vírusterjesztők számára. Mindezt azzal éri el, hogy kattintásalapú csalásokat segít elő, azaz bizonyos weboldalak esetén felhasználói közreműködés nélkül szimulál kattintásokat a hirdetéseken. Azt, hogy éppen mely weblapok esetében kell mozgósítania magát, a terjesztői egy szerveren közzétett konfigurációs fájl segítségével határozhatják meg.
A Poweliks.B a felhasználó átmeneti fájlok tárolására szolgáló könyvtárába másolja be a saját állományait, majd különös figyelmet szentel az Internet Explorerhez tartozó beállítások manipulálására.
Leírás
1. A regisztrációs adatbázisban létrehozza, illetve manipulálja a következő bejegyzéseket:
HKEY_CLASSES_ROOTCLSID{GUID}LocalServer32a = “{encoded script}”
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{GUID}LocalServer32a = “{encoded script}”
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{73E709EA-5D93-4B2E-BBB0-99B7938DA9E4}LocalServer32
HKEY_CLASSES_ROOTCLSID{GUID}LocalServer32
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMainnoprotectedmodebanner = “1”
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMainfeaturecontrolfeature_browser_emulationdllhost.exe = “dword:00002af8”
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMainfeaturecontrolfeature_browser_emulationiexplore.exe = “dword:00002af8”
HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorerlowregistrydontshowmethisdialogagaindisplaytrustalertdlg = “0”
HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorerautosearch = “0”
HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorersmartdithering = “0”
2. Interneten keresztül további fájlokat szerez be a működéséhez, amiket az alábbiak szerint ment le:
%User Temp%WindowsServer2003-KB968930-x64-ENG.exe
%User Temp%NetFx20SP1_x86.exe
%User Temp%NetFx20SP1_x64.exe
%User Temp%WindowsServer2003-KB968930-x64-ENG.exe
%User Temp%Windows6.0-KB968930-x86.msu
%User Temp%Windows6.0-KB968930-x64.msu
3. Összegyűjti az operációs rendszer legfontosabb paramétereit.
4. Powershell segítségével lefuttat egy scriptet.
5. Csatlakozik előre meghatározott távoli kiszolgálókhoz.
6. Kattintásalapú csalásokat segít elő. Ehhez internetről kap utasításokat.
7. Adatokat szivárogtat ki.
Támadás típusa
Information disclosure (Információ/adat szivárgás)Other (Egyéb)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.isbk.hu