Ortyc.Trojan – üdvözlőlap mögé bújó trójai program

A trójai program tulajdonságai

Felfedezésének ideje: 2002. október 24.
Utolsó frissítés ideje: 2002. október 25.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux
Mérete: 122.880 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: könnyű
Eltávolítása: közepesen nehéz

Aktiválódásakor bekövetkező események

– e-mailben érkezik, s arról tájékoztatja a felhasználót, hogy képeslapot kapott, amelyet megtekinthet a linkre kattintva
– ha a felhasználó megnyitja a linket, akkor a http://www.surprisecards.net/viewcard.htm oldalra jut, ahol a cikk mellett látható kép fogadja
– ha itt kattint a Click here to openre, akkor megnyílik egy ablak, melyben figyelmeztetést kap, hogy egy elektronikus üdvözlőkártya kiegészítést fog telepíteni az Internet Explorerbe
– ha a felhasználó a Yes gombra kattint, akkor letölt egy E-card.cab állományt, amely letölti és telepíti a Sec.dll file-t
– ez utóbbi browser helper objectként (BHO) kerül installálásra
– a HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects Registry kulcs alá regisztrálja be magát
– létrehozza az alábbi Registry kulcsokat:
HKEY_LOCAL_MACHINE/Software/POTD
HKEY_CURRENT_USER/Software/POTD
HKEY_LOCAL_MACHINE/Software/Classes/3750BFA3-1392-4AF3-AF86-9D2D4776E5A4
– az első olyan Explorer indításnál, miután már lezajlott a fenti folyamat, megpróbálkozik két előre meghatározott website-hoz csatlakozni, s innen letölteni a Trop.xml állományt
– ez a file popup URL-eket tartalmaz illetve kulcsszavakat; ha a felhasználó olyan oldalra téved, ahol ezen kulcsszavak megtalálhatók, akkor megjelenít egy popup ablakot a választékból