Összefoglaló
A Downloader.Upnoda egy trójai típusú kártevő, amely NVIDIA szoftverfrissítésnek álcázza magát és további káros szoftvereket tölt le a fertőzött rendszerre.
Leírás
A trójai a Program Files mappában létrehoz egy NVIDIA Corporation nevű könyvtárat, amelybe bemásolja a saját fájlját NvdUpd.exe néven.
A kártékony programnak semmi köze nincs az NVIDIA grafikus megoldásaihoz, valójában egy hátsó kapu kiépítésére alkalmas. Ennek megfelelően a támadók jogosulatlan rendszerhozzáférések biztosításához használhatják fel. Emellett pedig további nemkívánatos alkalmazások terjesztésében is szerepet kaphat az Upnoda.
Az alábbi lépéseket hajtja végre:
1. Létrehozza a következő állományt:
C:Program FilesNVIDIA CorporationUpdatesNvdUpd.exe
2. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
- HKEY_USERS.DEFAULTSoftwareNVIDIA CorporationGlobalnvUpdSrv”value” = “14141103”
- HKEY_USERS.DEFAULTSoftwareNVIDIA CorporationGlobalnvUpdSrv”GUID” = “5181c0f2-22fc-4d3e-ab9d-f12df226fc52”
3. Manipulálja a regisztrációs adatbázis következő bejegyzéseit:
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Type” = dword:00000010
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Start” = dword:00000002
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ObjectName” = “LocalSystem”
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ImagePath” = expand:”C:Program FilesNVIDIA CorporationUpdatesNvdUpd.exe”
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ErrorControl” = dword:00000000
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”DisplayName” = “NVIDIA Update Server”
- HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Description” = “NVIDIA Settings Update Manager service, used to check new updates from NVIDIA server”
4. Létrehoz egy NvUpdSrv nevű szolgáltatást.
5. Létrehoz egy mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.
6. Kapcsolódik egy távoli kiszolgálóhoz.
7. Nyit egy hátsó kaput, és parancsokat fogad a vezérlőszerverétől.
8. Szerepet vállal adatszivárogtatásban, amit titkosított módon tesz meg.
9. További nemkívánatos fájlokat tölt le, illetve futtat.
Megoldás
Frissítse a víruskereső adatbázisát.
Hivatkozások
Egyéb referencia: www.symantec.com
Egyéb referencia: www.isbk.hu