Összefoglaló
A Tenpeq.D trójai nagyon komoly fegyvert jelent a támadók kezében abból a szempontból, hogy a felhasználásával tulajdonképpen teljes mértékben átvehetik az irányítást a fertőzött számítógépek felett. Mindezt olyan módon tehetik meg, hogy a trójai csatlakozik egy előre meghatározott távoli kiszolgálóhoz, és a 80-as porton keresztül fogadja a terjesztői által kiadott utasításokat. Ezek egyebek mellett az alábbiakra terjedhetnek ki:
- fájlműveletek (beleértve a fájltörlést is)
- programok letöltése és futtatása
- folyamatok leállítása
- billentyűleütések naplózása
- adatok kiszivárogtatása
- rendszerbeállítások manipulálása.
Leírás
A Tenpeq.D mindössze négy állományt hoz létre a PC-n, majd a regisztrációs adatbázis módosításával eléri, hogy a Windows újraindításakor is bekerülhessen a memóriába. Eközben értesíti a terjesztőit a fertőzés megtörténtéről, sőt azt is megpróbálja feltérképezni, hogy az áldozatául eső rendszer földrajzilag hol található.
Technikai részletek:
1. Létrehozza a következő fájlokat:
%CommonProgramFiles%services360siom.exe
%CommonProgramFiles%servicespotplayer.dll
%ProgramFiles%fobaycc.exe
%ProgramFiles%fobaypotplayer.dll
2. Létrehoz egy mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.
3. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKLMsoftwaremicrosoftwindowscurrentversionrunFObay=”%ProgramFiles%fobaycc.exe”
HKLMsoftwaremicrosoftwindowscurrentversionrunsysteo=”%System%svchost.exe”
4. Megfertőz egyes folyamatokat.
5. Nyit egy hátsó kaput, és fogadja a támadók parancsait. A kommunikációhoz a 80-as portot használja.
Megoldás
Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.
Támadás típusa
Information disclosure (Információ/adat szivárgás)Security bypass (Biztonsági szabályok megkerülése)
backdoor
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: isbk.hu
Egyéb referencia: www.microsoft.com