Troldesh trójai

CH azonosító

CH-13445

Angol cím

Troldesh trojan

Felfedezés dátuma

2016.07.12.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Microsoft Windows

Összefoglaló

A Troldesh trójai káros kód vált ismertté, amely a felhasználó egyes fájlait titkosítja, majd megpróbálja eladni a titkosításához szükséges jelszó.

Leírás

A Troldesh trójai fájlokat titkosít, majd váltságdíjat követel a felhasználótól a helyreállításhoz szükséges adatokért cserébe. A követeléseit a Windows Asztal háttérképének módosításával közli, illetve minden érintett könyvtárba egy szöveges fájlt is bemásol a teendők leírásával. Ezeket azonban nem célszerű követni.
A Troldesh egy hosszú kiterjesztéslista alapján választja ki azokat a fájlokat, amelyeket le kell titkosítania. Többek között dokumentumok, képek, videók, zenék, adatbázisok stb. is használhatatlanná válhatnak.
A Troldesh a 80-as vagy a 443-as portokon keresztül kommunikál a vezérlőszerverével, amelyre rendszer- és hálózati információkat is képes kiszivárogtatni.

Technikai részletek:

1. Létrehozza a következő állományokat:
%APPDATA%windowscrsrss.exe
%ProgramData%driverscrsrss.exe
%TEMP%state.tmp

2. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzések egyikét:
HKLMSoftwareMicrosoftWindowsCurrentVersionRunClient Server Runtime Subsystem=”a trójai elérési útvonala”
HKLMSoftwareMicrosoftWindowsCurrentVersionRunCSRSS=”a trójai elérési útvonala”

3. A regisztrációs adatbázisban módosítja a következő értéket:
HKLMSoftwareSystemConfigi=”[véletlenszerű karakterek]”

4. Egy kiterjesztéslista alapján fájlokat kutat fel, majd titkosít.

5. A kompromittált állományok kiterjesztését az alábbiak egyikére módosítja:
.da_vinci_code
.magic_software_syndicate

6. Minden olyan mappába, amelyben legalább egy fájlt használhatatlanná tett, bemásol egy README[szám].txt nevű állományt.

7. Tor használatával egy weboldalra próbálja vezetni a felhasználót.

8. Megváltoztatja az Asztal háttérképét.

9. Kapcsolódik egy távoli kiszolgálóhoz a 80-as vagy a 443-as porton keresztül.

10. Lekérdezi a számítógép (vagy a router külső) IP-címét.

Megoldás

Használjon offline biztonsági mentést.

Hivatkozások

Egyéb referencia: isbk.hu
Egyéb referencia: www.microsoft.com