Trojan.Win32.Autoit

Hlavní třída: TrojWare

Trojské koně jsou škodlivé programy, které provádějí akce, které nejsou uživateli povoleny: odstraňují, blokují, upravují nebo kopírují data a narušují výkon počítačů nebo počítačových sítí. Na rozdíl od virů a červů, hrozby, které spadají do této kategorie, nejsou schopné vytvářet kopie nebo se samy replikovat.

Trojice jsou klasifikována podle typu akce, kterou provádějí na infikovaném počítači.

Třída: Trojan

Škodlivý program určený k elektronickému špehování aktivit uživatele (zachytit vstup klávesnice, pořídit screenshoty, zachytit seznam aktivních aplikací apod.). Shromažďované informace jsou kybernetickému uživateli odesílány různými prostředky, včetně e-mailu, FTP a HTTP (zasláním dat v žádosti).

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Popis

Po spuštění se trojan provádí následující akce:

• Pokouší se připojit se k následujícím serverům HTTP:

   87. ***69. *** 224

• Vytváří adresář:

  % System% <rnd> 

  kde <rnd> je náhodné pětciferné desetinné číslo.
• Extrahuje soubor z jeho těla a uloží jej do systému jako:

   % System% <rnd> svchost.exe 

  (525 312 bajtů, které Kaspersky Anti-Virus detekoval jako "ne-virus: Monitor.Win32.Ardamax.ae")
• Spustí extrahovaný soubor k provedení.
• Změní hodnoty následujících klíčů registru systému:

  [HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer]"NofolderOptions" = 0[HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]"DisableTaskMgr" = 0[HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]"DisableRegistryTools" = 1

  Změna posledního klíče zakáže editor registru.
• Vytvoří soubor:

  % System% setup.ini (96 bajtů) 

  s následujícím obsahem:

  [Autorun]Otevřít = regsvr.exeShellexecute = regsvr.exeShellOpencommand = regsvr.exeShell = otevřeno

• Spustí systémový příkazový interpret "cmd.exe" s následujícími parametry:

   / C AT / smazat / ano 

  Tím se zruší všechny naplánované úlohy v Plánovači úloh systému Windows.

   / C AT 09:00 / interaktivní / VŠECHNY: m, t, w, th, f, s, su% Systém% svchost.exe 

Každý den v 9:00 začne systém Windows Task Scheduler spustit kopii Trojana.

Zobrazit více

Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com