Összefoglaló
A Rultazo nevű Windows operációs rendszereket támadó trójai típusú – a felhasználó adatainak lopására alkalmas – káros kód vált ismertté, amelyek az érzékeny információkat egy PHP-alapú weboldal segítségével eljuttatja a terjesztőihez.
Leírás
Első lépésként leginkább rendszerinformációkat gyűjt össze – például a számítógép és az operációs rendszer legfontosabb paramétereit is lekérdezi. Ezt követően lementi a böngészési előzményeket, illetve a Skype szoftver adatbázisfájlját. Ezt követően egyesével elkezdi a legnépszerűbb alkalmazások által eltárolt adatok kiexportálásához, többek között a Chrome, az Opera, az Outlook, a Thunderbird és a FileZilla alkalmazások tekintetében és mentett felhasználóneveket, jelszavakat próbál megszerezni.
A Rultazo az összes állományát, illetve az összegyűjtött adatokat tartalmazó fájljait a Windows átmeneti fájlok tárolására szolgáló mappájába helyezi el, majd időközönként az értékes adatokkal teli állományokat egy PHP-alapú weboldal segítségével eljuttatja a terjesztőihez.
Technikai részletek:
1. Létrehozza a következő mappákat:
- %Temp%[véletlenszerű karakterek]Coins
- %Temp%[véletlenszerű karakterek]Skype
- %Temp%[véletlenszerű karakterek]Desktop
- %Temp%[véletlenszerű karakterek]BrowsersCookies
- %Temp%[véletlenszerű karakterek]BrowsersAutocomplete
- %Temp%[véletlenszerű karakterek]Browsers
- %Temp%[véletlenszerű karakterek]Steam
2. Létrehozza az alábbi állományokat:
- %Temp%[véletlenszerű karakterek]Programms.txt
- %Temp%[véletlenszerű karakterek]Passwords.txt
- %Temp%[véletlenszerű karakterek]Process.txt
- %Temp%[véletlenszerű karakterek]Info.txt
3. Kapcsolódik egy távoli vezérlőszerverhez.
4. Különféle rendszer és felhasználói információkat gyűjt össze.
5. Lementi az alábbi mappában található állományokat:
- %SystemDrive%Documents and SettingsAll UsersDesktop
6. Hitelesítő adatokat gyűjt ki a következő alkalmazásokból:
- Google Chrome
- Yandex Browser
- Comodo Dragon
- Amigo
- Orbitum
- Bromium
- Chromium
- Opera
- Filezilla
- Outlook
- Thunderbird
- Purple
7. Az összegyűjtött adatokat feltölti egy távoli szerverre egy PHP-alapú weboldalon keresztül.
Hivatkozások
Egyéb referencia: isbk.hu
Egyéb referencia: www.symantec.com