Webkamerával kémkedik a Beastdoor trójai

A Beastdoor.DT trójai a Windows egyik rendszerfolyamatának megfertőzését követően hátsó kaput nyit a számítógépeken.

A Beastdoor.DT trójai alapvető feladata, hogy az általa megfertőzött számítógépekhez szabad hozzáférést biztosítson a terjesztői számára. A kártékony program néhány fájl létrehozása után és a regisztrációs adatbázis manipulálását követően megfertőzi a Windows explorer.exe folyamatát. Ezt alapvetően két ok miatt teszi. Egyrészt ezáltal próbál elrejtőzni, hiszen nem lesz látható például a Windows Feladatkezelőjében, másrészt az explorer.exe révén igyekszik egy hátsó kaput létesíteni egy véletlenszerűen kiválasztott porton keresztül. Amennyiben sikerül elvégeznie ezeket a műveleteket, akkor elektronikus levelet küld a terjesztőinek, és tájékoztatja őket az áldozatul esett számítógép legfontosabb adatairól (például IP-címéről) valamint a hátsó kapu portszámáról.

Az Isidor Biztonsági Központ közleménye szerint a Beastdoor.DT a következő tevékenységek jogosulatlan távoli elvégzésére ad lehetőséget:

- képernyőképek készítése

- videó rögzítése webkamera segítségével

- fájlok letöltése és futtatása

- fájlok feltöltése távoli szerverekre

- az egér működésének és funkcionalitásának manipulálása

- elektronikus levelek küldése

- billentyűleütések naplózása.

Amikor a Beastdoor.DT trójai elindul, akkor az alábbi műveleteket hajtja végre:

1 Létrehozza a következő állományokat:

%windir%/msmdel.exe

%windir%/msmdel.dll

%windir%/msmdel.hfa

2. A regisztrációs adatbázishoz hozzáfűzi az alábbi értékeket:

HKCU/Software/Adobe/MD/ma="%windir%/msmdel.exe"

HKCU/Software/Adobe/MD/mc="%windir%/msmdel.exe"

HKCU/Software/Adobe/MD/MDA="%windir%/msmdel.hfa"

3. A regisztrációs adatbázisban módosítja a következő bejegyzést:

HKLM/SOFTWARE/Microsoft/Active Setup/Installed Components/{53B21ED2-D151-A1E2-C2C1-E32B214AA1AC}/StubPath="%windir%/msmdel.exe"

4. A regisztrációs adatbázisban módosítja az alábbi értéket:

HKLM/SYSTEM/CurrentControlSet/Services/srservice/Start="4"

5. Megfertőzi az explorer.exe folyamatot.

6. Nyit egy hátsó kaput egy véletlenszerűen kiválasztott hálózati porton keresztül.

7. Összegyűjti a legfontosabb rendszerinformációkat, amelyeket e-mailben továbbít a terjesztői számára.

8. Várakozik a támadók parancsaira.

A hír megjelenését a Biztonságportál támogatta.