Trojan-Spy.Win32.SCKeyLog

Hlavní třída: TrojWare

Trojské koně jsou škodlivé programy, které provádějí akce, které nejsou uživateli povoleny: odstraňují, blokují, upravují nebo kopírují data a narušují výkon počítačů nebo počítačových sítí. Na rozdíl od virů a červů, hrozby, které spadají do této kategorie, nejsou schopné vytvářet kopie nebo se samy replikovat.

Trojice jsou klasifikována podle typu akce, kterou provádějí na infikovaném počítači.

Třída: Trojan-Spy

Programy Trojan-Spy se používají k špehování akcí uživatele (sledování dat zadaných klávesnicí, vytváření snímků na obrazovce, načtení seznamu běžících aplikací apod.) Získané informace jsou poté předávány škodlivému uživateli, který kontroluje Trojan. K přenosu dat lze použít e-mail, FTP, web (včetně dat v žádosti) a další metody.

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Popis

Po spuštění se trojan provádí následující akce:

• Extrahuje soubory z těla a uloží je do systému jako:

   % System% secsrvrc.exe 

  (29 184 bajtů, které Kaspersky Anti-Virus detekoval jako "Trojan-Spy.Win32.SCKeyLog.au")

   % System% secsrvrc.dll 

  (15 360 bajtů, který Kaspersky Anti-Virus zjistil jako "Trojan-Spy.Win32.SCKeyLog.at") Soubory jsou vytvářeny pomocí atributů "skrytá" a "systémová".
• Zaregistruje extrahovanou knihovnu v registru systému vytvořením následujících klíčů:

  [HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonNotifysecsrvrc]"DllName" = "secsrvrc.dll""Asynchronní" = "0""Zosobnit" = "0""Zámek" = "WLELock""Odhlášení" = "WLELogoff""Přihlášení" = "WLELogon""Vypnutí" = "WLEShutdown""StartScreenSaver" = "WLEStartScreenSaver""Spuštění" = "WLEStartup""StopScreenSaver" = "WLEStopScreenSaver""Odemknout" = "WLEUnlock"

  Extrahovaná "secsrvrc.dll" knihovna je proto automaticky načten do adresního prostoru procesu "WINLOGON.EXE" při každém restartování systému. V reakci na různé události probíhající v systému (přihlášení uživatele, odhlášení atd.) Povolí Trojan odpovídající funkce z knihovny "secsrvrc.dll".
• Chcete-li zajistit, že dříve extrahovaný soubor "secsrvrc.exe" se spustí automaticky při každém restartování systému, je vytvořen následující klíč registru systému:

  [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]"secsrvrc" = "% System% secsrvrc.exe"

• Spustí soubor "secsrvrc.exe" pro provedení.

Trojan pak přestane běžet.

Při spuštění Trojan uloží svůj protokol do následujícího souboru:

 % Temp% LogFile.Log 

Obsah tohoto protokolu je odeslán uživateli se zlými úmysly e-mailem.

Po spuštění proces "secsrvrc.exe" provádí následující akce:

• Pokud infikovaný počítač používá Windows 9x, Trojan skrývá svůj proces pomocí neregistrované funkce "RegisterServiceProcess".
• Z knihovny "% System% secsrvrc.dll" volá následující funkce:

  SetLOptStartL

Zobrazit více

Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com