Ártalmas programokat terjeszt a Tracur trójai

A Tracur.X trójai további kártékony programok terjesztéséből veszi ki a részét, és ezáltal veszélyezteti a számítógépeket.

A Tracur.X trójai önmagában nem képes rombolásra, adatlopásra. Mindössze egy feladata van, de azt meglehetősen üzembiztosan képes elvégezni. Ez pedig nem más, mint további ártalmas programok számítógépekre való feljuttatása. A trójai egyrészt egy másik variánsát tölti le a PC-kre, másrészt egy Dursg.I nevű ártalmas programot másol fel a rendszerekre. A Dursg kártékony programok családjához olyan kártevők tartoznak, amelyek a böngészők manipulálásával nemkívánatos URL-ket jelenítenek meg, valamint különféle reklámokat tárnak a felhasználók elé.

Az Isidor Biztonsági Központ felhívta a figyelmet arra, hogy a Tracur.X trójai internethez való hozzáférését a Windows beépített tűzfalával nem lehet magakadályozni, ugyanis a kártékony program a regisztrációs adatbázis manipulálásával gondoskodik arról, hogy az operációs rendszer e védelmi komponense ne akadályozza a tevékenységében.

Amikor a Tracur.X trójai elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő állományt:

%System%/[véletlenszerű karakterek].exe

2. Beregisztrál az Internet Explorerhez egy BHO (Browser Helper Object) objektumot.

3. A regisztrációs adatbázishoz hozzáadja az alábbi éréket:

HKLM/SOFTWARE/Classes/CLSID/{03970AA5-C169-44BF-B514-B1A9227DD9Dc}/InprocServer32/(default)="%System%/authz32.dll"

4. A regisztrációs adatbázisban módosítja a következő bejegyzést:

HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Windows/AppInit_Dlls="%System/[fájlnév]"

5. A regisztrációs adatbázisban megváltoztatja az alábbi értéket:

HKLM/SYSTEM/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/DomainProfile/AuthorizedApplications/List/%System%/[fájlnév]="%System%/[fájlnév]:*:enabled:windows update service"

6. Csatlakozik előre meghatározott távoli szerverekhez.

7. Különféle fájlokat tölt le interneten keresztül, amelyeket az alábbiak szerint ment le:

%System%/[véletlenszerű karakterek]32.exe

%System%/[véletlenszerű karakterek]32.dll

8. A regisztrációs adatbázisban módosítja a következő értéket:

HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/acc0e9de="00 52 F7 67 C4 2A CC 01"

A hír megjelenését a Biztonságportál támogatta.