Dotkom
Backdoor.DarkSky.B – Registry buheráló trójai program
Nagy mennyiségű Registry módosítást végez a rendszeren, emiatt többek közt akkor is elindulhat a működése, ha csak egy text állományt nyit meg a felhasználó.
A trójai program tulajdonságai
Felfedezésének ideje: 2002. október 2.
Utolsó frissítés ideje: 2002. október 4.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux
Mérete: 20 Kbyte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: könnyű
Eltávolítása: közepesen nehéz
Aktivizálódásakor bekövetkező események
– az 5418-as és 5419-es portokat nyitja ki, s ezeken figyel a távolról jövő kapcsolat(ok)ra
– service-ként futtatja magát és felmásolja a következő állományokat a System könyvtárba: Notepade.exe, Knrel32.exe, SysArchive.exe
– ezen file-ok attributumai: rendszer, csak olvasható és rejtett
– hozzáadja a SysArchive SysArchive.exe értéket a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices Registry kulcshoz
– a HKEY_LOCAL_MACHINE/Software/Classes/exefile/shell/open/command Registry kulcsban az alapértéket /Windows/System/Notepade.exe ˝%1˝ %* -re változtatja, ennek révén minden egyes EXE állomány futtatásakor a trójai is automatikusan elindul
– létrehozza a HKEY_CLASSES_ROOT/.txt/shell/open/command Registry kulcsot, melyben a (Default) érték /Windows/System/Notepade.exe ˝%1˝ lesz, így minden egyes txt file megnyitásakor is automatikusan futtatásra kerül a trójai program
– az alábbi kulcsokban szintén erre változtatja meg az alapértéket
HKEY_CLASSES_ROOT/txtfile/shell/open/command
HKEY_CLASSES_ROOT/txtfile.txt/shell/open/command
[fbcomments url="https://www.technokrata.hu/egazdasag/dotkom/2002/10/07/backdoor-darksky-b-registry-buheralo-trojai-program/" width="800" count="off" num="3" countmsg=""]
