Ana sınıf: TrojWare
Truva atları, kullanıcı tarafından izin verilmeyen eylemleri gerçekleştiren kötü amaçlı programlardır: veriyi siler, engeller, değiştirir veya kopyalarlar ve bilgisayarların veya bilgisayar ağlarının performansını bozarlar. Virüslerden ve solucanlardan farklı olarak, bu kategoriye giren tehditler kendi kopyalarını kopyalayamaz veya kendi kendini kopyalayamaz. Truva atları, enfekte olmuş bir bilgisayarda gerçekleştirdikleri eylem türüne göre sınıflandırılır.Sınıf: Trojan
Kullanıcının faaliyetlerini elektronik olarak gözetlemek için tasarlanmış kötü amaçlı bir program (klavye girişini durdur, ekran görüntüsü al, etkin uygulamaların listesini yakala, vb.). Toplanan bilgiler, e-posta, FTP ve HTTP (istek üzerine veri göndererek) dahil olmak üzere çeşitli yollarla siber suçluya gönderilir.Platform: Win32
Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.Açıklama
Teknik detaylar
Bu, Xerox finansal bilgi masaüstüne saldıran Win95 / 98 / ME trojan programıdır (bkz. Http://www.spxpresso.com). Truva, mali işlemleri değiştirmeyi planlıyor, muhtemelen bu işlemi hacker'ın banka hesabına iletmek. Truva atı, Java'da yazılmış Xpresso istemcisi tarafından kullanılan Java çalışma zamanı kitaplığını etkileyerek bunu yapar.
Truva, virüs laboratuarında test edilmedi, bu yüzden korsanların veya başka bir hesabın para transferlerini garanti edemeyiz. Gerçek şu ki, trojan işlemleri kesiyor ve işlem kontrol bloklarındaki verileri değiştiriyor.
Trojan, Win32 PE EXE dosyalarına ekli olarak dağıtılıyor. Truva kodu, PE EXE dosyalarının sonuna virüs benzeri bir şekilde yerleştirilir. Etkilenen dosya çalıştırıldığında, truva kodu, ana trojan bileşenini sisteme yükler ve kurar. Kontrol daha sonra ana dosyaya döndürülür.
Truva, diğer PE EXE dosyalarını tek başına etkileyemez. Özel bir "bırakarak" trojan bileşeni (komut satırı Win32 uygulaması), kurye PE EXE dosyalarını kullanıcının isteği üzerine eklenmiş trojan kodu bulundu.
Truva atı sisteme yüklenirken kod VxD bileşeninden (ana trojan bileşeni) çıkar ve yeni oluşturulan MSREBOOT.VXD dosyasına Windows sistem dizinine yazar. Bu VxD daha sonra "VxD Hizmetleri" kayıt defteri anahtarına kaydedilir.
Orada oluşturulan daha fazla anahtar da var:
HKLMSystemCurrentControlSetServicesVxDREBOOT
RebootData = [sıfır uzunluklu veri]
Başlangıç = 00
StaticVxD = "* REBOOT, MSREBOOT.VXD"
İlk anahtar, trojanın kendini sistemden kaldıracağı tarihi gösterir. Trojan daha sonra VXD dosyasını sıfırlarla siler, sonra dosyayı siler.
İkinci anahtar bilinmiyor.
Üçüncü anahtar, Windows'un Windows'u başlatırken VXD dosyasını yüklemesi ve etkinleştirmesi için zorlayan otomatik yükleme kayıt defteri anahtarıdır.
Trojan VXD dosyası etkinleştirildiğinde ana trojan prosedürü dosya açma işlemini izler ve Java runtime library JRT3230.DLL dosyasını arar. Truva atı, o kütüphane yüklemesini atlar, yükleme tamamlandığında bekler ve "do_execute_java_method_vararg" Java işlevini kancalar.
Fahişe daha sonra, Xpresso istemcisi kullanılarak yapılan banka havaleleri dahil olmak üzere, bu işlev tarafından işlenen tüm verileri kancalar. Truva, transfer talebi yapısını ayrıştırır ve bu talepteki bazı alanları diğer değerlerle değiştirir. Truva atı, orijinal hedef banka hesap numarasının korsanının yerine geçtiği anlaşılıyor.
Daha fazlasını okuyun
Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com