Összefoglaló
A Troldesh trójai káros kód vált ismertté, amely a felhasználó egyes fájlait titkosítja, majd megpróbálja eladni a titkosításához szükséges jelszó.
Leírás
A Troldesh trójai fájlokat titkosít, majd váltságdíjat követel a felhasználótól a helyreállításhoz szükséges adatokért cserébe. A követeléseit a Windows Asztal háttérképének módosításával közli, illetve minden érintett könyvtárba egy szöveges fájlt is bemásol a teendők leírásával. Ezeket azonban nem célszerű követni.
A Troldesh egy hosszú kiterjesztéslista alapján választja ki azokat a fájlokat, amelyeket le kell titkosítania. Többek között dokumentumok, képek, videók, zenék, adatbázisok stb. is használhatatlanná válhatnak.
A Troldesh a 80-as vagy a 443-as portokon keresztül kommunikál a vezérlőszerverével, amelyre rendszer- és hálózati információkat is képes kiszivárogtatni.
Technikai részletek:
1. Létrehozza a következő állományokat:
%APPDATA%windowscrsrss.exe
%ProgramData%driverscrsrss.exe
%TEMP%state.tmp
2. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzések egyikét:
HKLMSoftwareMicrosoftWindowsCurrentVersionRunClient Server Runtime Subsystem=”a trójai elérési útvonala”
HKLMSoftwareMicrosoftWindowsCurrentVersionRunCSRSS=”a trójai elérési útvonala”
3. A regisztrációs adatbázisban módosítja a következő értéket:
HKLMSoftwareSystemConfigi=”[véletlenszerű karakterek]”
4. Egy kiterjesztéslista alapján fájlokat kutat fel, majd titkosít.
5. A kompromittált állományok kiterjesztését az alábbiak egyikére módosítja:
.da_vinci_code
.magic_software_syndicate
6. Minden olyan mappába, amelyben legalább egy fájlt használhatatlanná tett, bemásol egy README[szám].txt nevű állományt.
7. Tor használatával egy weboldalra próbálja vezetni a felhasználót.
8. Megváltoztatja az Asztal háttérképét.
9. Kapcsolódik egy távoli kiszolgálóhoz a 80-as vagy a 443-as porton keresztül.
10. Lekérdezi a számítógép (vagy a router külső) IP-címét.
Megoldás
Használjon offline biztonsági mentést.
Hivatkozások
Egyéb referencia: isbk.hu
Egyéb referencia: www.microsoft.com