Trojan.Win32.PKZ300b

Ana sınıf: TrojWare

Truva atları, kullanıcı tarafından izin verilmeyen eylemleri gerçekleştiren kötü amaçlı programlardır: veriyi siler, engeller, değiştirir veya kopyalarlar ve bilgisayarların veya bilgisayar ağlarının performansını bozarlar. Virüslerden ve solucanlardan farklı olarak, bu kategoriye giren tehditler kendi kopyalarını kopyalayamaz veya kendi kendini kopyalayamaz. Truva atları, enfekte olmuş bir bilgisayarda gerçekleştirdikleri eylem türüne göre sınıflandırılır.

Sınıf: Trojan

Kullanıcının faaliyetlerini elektronik olarak gözetlemek için tasarlanmış kötü amaçlı bir program (klavye girişini durdur, ekran görüntüsü al, etkin uygulamaların listesini yakala, vb.). Toplanan bilgiler, e-posta, FTP ve HTTP (istek üzerine veri göndererek) dahil olmak üzere çeşitli yollarla siber suçluya gönderilir.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

PKZIP300, PKZ300B.EXE, 178981 bayt uzunluğunda kendi kendine ayıklanan arşiv olarak dağıtılır.

Bu arşiv beş dosya içerir, çıkardıktan sonra bunlar:

dosya adı len bu nedir?-------- ---- ------------PKZINST.EXE 5328 bu gerçek bir trojan programıdırWHATSNEW.300 2417 PkZip 2.04c'den WhatsNew, 2.04c 3.0 ile değiştirildiCOMPRESS.000 124005 ARJ 2.41 artı ilave baytCOMPRESS.001 116260 ARJ 2.41FILE_ID.DIZ 101 DOC dosyası, Pkzip 3.0b olarak duyurdu.

Truva - PKZINST.EXE tek bir dosya var. Turbo-Pascal'da yazılmıştır. Yürütüldüğünde mesajı görüntüler:

PKZIP (R) Install Utility Sürüm 3.00b 4-05-950Copr. 1989-1995 Pkware Inc. Tüm Hakları Saklıdır.Pkzip Reg. ABD Pat. ve Tm. Kapalı.Başlatma, bu birkaç dakika sürebilir ....

ve iki komut yürütür:

COMMAND.COM / C Biçim c:> NULLCOMMAND.COM / C deltree / yc:> NULL

Neyse ki, bu trojanın yazarı bilgisayar bilgisine sahip değil ve ilk komut sadece DOS onayını bekliyor:

UYARI: SÖKÜLEBİLİR DİSK DAYALI TÜM VERİLERSÜRÜCÜ C: KAYIP OLACAK!Format (Y / N) ile devam edilsin mi?

Bu istek sıfırlama veya Ctrl-C / Break ile sonlandırılabilir. Her iki durumda da, trojan, verilere zarar vermeden sona erdirilir. Ctrl-C durumunda sadece kullanımları bilgilendirir:

Beklediğiniz için teşekkürler moron. Bizimle dalga geçmemeliydin.

ve DOS'a döner.

Bu trojanda bir tane daha hata var - "NULL", "NULL" yazarak virüs yazarının "> NUL" yazması gereken mesajları devre dışı bırakmak için mevcut dizinde NULL dosyası oluşturur.

Virüs yazarının DOS sayfa sayfalarını alfabetik sırayla öğrenir, "D" ve "F" ile başlayan komutları nasıl kullanacağını bilir, ancak hala "N" (Null) yönergelerine ulaşılamamıştır. Onun DOS Kullanım Kılavuzunu okuyor.

AVP, "Trojan.PKZ300b" adı verilen truva atını, kendiliğinden açılan arşivde olduğu gibi, çıkarılabilir yürütülebilir dosyada algılar.

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com