Tenpeq.D trójai

CH azonosító

CH-12147

Angol cím

Tenpeq.D trojan

Felfedezés dátuma

2015.04.14.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

A Tenpeq.D trójai nagyon komoly fegyvert jelent a támadók kezében abból a szempontból, hogy a felhasználásával tulajdonképpen teljes mértékben átvehetik az irányítást a fertőzött számítógépek felett. Mindezt olyan módon tehetik meg, hogy a trójai csatlakozik egy előre meghatározott távoli kiszolgálóhoz, és a 80-as porton keresztül fogadja a terjesztői által kiadott utasításokat. Ezek egyebek mellett az alábbiakra terjedhetnek ki:

  • fájlműveletek (beleértve a fájltörlést is)
  • programok letöltése és futtatása
  • folyamatok leállítása
  • billentyűleütések naplózása
  • adatok kiszivárogtatása
  • rendszerbeállítások manipulálása.

Leírás

A Tenpeq.D mindössze négy állományt hoz létre a PC-n, majd a regisztrációs adatbázis módosításával eléri, hogy a Windows újraindításakor is bekerülhessen a memóriába. Eközben értesíti a terjesztőit a fertőzés megtörténtéről, sőt azt is megpróbálja feltérképezni, hogy az áldozatául eső rendszer földrajzilag hol található.

Technikai részletek:

1. Létrehozza a következő fájlokat:

%CommonProgramFiles%services360siom.exe
%CommonProgramFiles%servicespotplayer.dll
%ProgramFiles%fobaycc.exe
%ProgramFiles%fobaypotplayer.dll

2. Létrehoz egy mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.

3. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKLMsoftwaremicrosoftwindowscurrentversionrunFObay=”%ProgramFiles%fobaycc.exe”
HKLMsoftwaremicrosoftwindowscurrentversionrunsysteo=”%System%svchost.exe”

4. Megfertőz egyes folyamatokat.

5. Nyit egy hátsó kaput, és fogadja a támadók parancsait. A kommunikációhoz a 80-as portot használja.

Megoldás

Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.