A Trausama.A trójai egy teljes képernyős PowerPoint prezentáció
megjelenítésével hívja fel magára a figyelmet, miközben egy hátsó kaput
nyit a számítógépeken.

A Trausama.A trójai a legkevésbé sem törekszik arra, hogy minél tovább
rejtve tudjon maradni az általa megfertőzött rendszereken. Amint néhány
módosítást elvégez a számítógépeken, azonnal megjelenít egy felnőtteknek
szóló tartalommal felvértezett, „real kamasutra.pps” nevű PowerPoint
állományt. A prezentációt teljes képernyős üzemmódban kezdi levetítetni.
Eközben pedig a háttérben lehetőséget biztosít a támadók számára, hogy a
fertőzött PC-kre szabadon bejuthassanak, és azokon különféle műveleteket
végezhessenek.

Az Isidor Biztonsági Központ szerint a Trausama.A néhány olyan
módosítást végez a regisztrációs adatbázisban, amelyek révén manipulálja
a Windows fájlmegjelenítési beállításait, valamint módosítja az
operációs rendszer beépített tűzfalának paramétereit. Ezzel a saját
állománya bekerül a kivételek közé, így - további tűzfal hiányában -
szabadon képes kommunikálni az interneten keresztül.

Amikor a Trausama.A trójai elindul, akkor az alábbi műveleteket hajtja
végre:

1. Létrehozza a következő fájlokat:
%temp%\real kamasutra.pps.bat
%temp%\real kamasutra.pps
%temp%\jqa.exe
%temp%\acrobat.exe

2. Lefuttatja az előbbiekben létrehozott .bat kiterjesztésű állományt.
Ezzel elindítja az Internet Explorert, megnyitja a real kamasutra.pps
fájlt, valamint lefuttatja az acrobat.exe állományt.

3. Létrehozza az alábbi fájlt:
%windir%\adobeupdater.exe

4. A regisztrációs adatbázishoz hozzáfűzi a következő értéket:
In subkey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe
Updater="%windir%\adobeupdater.exe"

5. Módosítja a Windows tűzfalát annak érdekében, hogy az
adobeupdater.exe fájl bekerüljön a kivételek közé.

6. A regisztrációs adatbázisban elvégzi a következő módosítást:
HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\%windir%\AdobeUpdater.exe\="%windir%\adobeupdater.exe:*:enabled:adobeupdater.exe"

7. A regisztrációs adatbázisban megváltoztatja az alábbi bejegyzést:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden="0"
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden="0"
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt="1"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue="0"

8. Nyit egy hátsó kaput, és várakozik a támadók parancsaira.

9. Megjelenít egy PowerPoint prezentációt teljes képernyős üzemmódban.

www.biztonságportál.hu