Upnoda trójai

CH azonosító

CH-11819

Angol cím

Downloader.Upnoda

Felfedezés dátuma

2014.11.20.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows Vista, Windows XP

Összefoglaló

Downloader.Upnoda egy trójai típusú kártevő, amely NVIDIA szoftverfrissítésnek álcázza magát és további káros szoftvereket tölt le a fertőzött rendszerre.

Leírás

A trójai a Program Files mappában létrehoz egy NVIDIA Corporation nevű könyvtárat, amelybe bemásolja a saját fájlját NvdUpd.exe néven.

A kártékony programnak semmi köze nincs az NVIDIA grafikus megoldásaihoz, valójában egy hátsó kapu kiépítésére alkalmas. Ennek megfelelően a támadók jogosulatlan rendszerhozzáférések biztosításához használhatják fel. Emellett pedig további nemkívánatos alkalmazások terjesztésében is szerepet kaphat az Upnoda.

Az alábbi lépéseket hajtja végre:

1. Létrehozza a következő állományt:
C:Program FilesNVIDIA CorporationUpdatesNvdUpd.exe

2. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:

  • HKEY_USERS.DEFAULTSoftwareNVIDIA CorporationGlobalnvUpdSrv”value” = “14141103”
  • HKEY_USERS.DEFAULTSoftwareNVIDIA CorporationGlobalnvUpdSrv”GUID” = “5181c0f2-22fc-4d3e-ab9d-f12df226fc52”

3. Manipulálja a regisztrációs adatbázis következő bejegyzéseit:

  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Type” = dword:00000010
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Start” = dword:00000002
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ObjectName” = “LocalSystem”
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ImagePath” = expand:”C:Program FilesNVIDIA CorporationUpdatesNvdUpd.exe”
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”ErrorControl” = dword:00000000
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”DisplayName” = “NVIDIA Update Server”
  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNvUpdSrv”Description” = “NVIDIA Settings Update Manager service, used to check new updates from NVIDIA server”

4. Létrehoz egy NvUpdSrv nevű szolgáltatást.

5. Létrehoz egy mutexet annak érdekében, hogy egyszerre csak egy példányban fusson.

6. Kapcsolódik egy távoli kiszolgálóhoz.

7. Nyit egy hátsó kaput, és parancsokat fogad a vezérlőszerverétől.

8. Szerepet vállal adatszivárogtatásban, amit titkosított módon tesz meg.

9. További nemkívánatos fájlokat tölt le, illetve futtat.


Megoldás

Frissítse a víruskereső adatbázisát.