Trojan.Agent.FKIA

Az üzeneteknek változó német nyelvû címsora van, és változó maguknak az üzeneteknek a német nyelvû szövege is. A trójai az e-mailek a függelékében egy zip állományban található.

A károkozó futtatáskor létrehoz egy olyan állományt, mely a Windows egyik rendszerállományát próbálja utánozni, emellett létrehoz egy rendszerleíró adatbázis-bejegyzést is ennek az automatikus futtatásához. Elhelyez még a rendszeren egy rootkit komponenst is, melyet a VirusBuster kártevõellenes eszközei "Rootkit.Autorun.Gen.10" néven azonosítanak.

A kártevõ a felsoroltak mellett minden elérhetõ meghajtó fõkönyvtárában létrehoz egy olyan "autorun.inf" állományt, melynek segítségével az adott meghajtó megnyitásakor automatikusan futtathatja önmagát.

A trójai tevékenysége ennyiben még nem merül ki, ugyanis további károkozásra alkalmas komponenseket próbál letölteni az internetrõl.

A trójai 2008. november 24-én bukkant fel nagy számban kéretlen e-mailekben. Az üzeneteknek változó német nyelvû címsora van. A legelterjedtebb változatok:

Abrechnung 20577273360
Anzeigegefahr Nr5487
Guenter Frhr. v. Gravenreuth Brief Nr9863
Mahngebuehren Nr4984
Zahlungsaufforderung Nr6357

Az iménti listában szereplõ számok véletlenszerûen változnak. Magának a küldeménynek a tartalma általában az alanti szöveghez hasonló:

Sehr geehrte Damen und Herren!
Die Anzahlung Nr.654259431479 ist erfolgt
Es wurden 3443.00 EURO Ihrem Konto zu Last geschrieben.
Die Auflistung der Kosten finden Sie im Anhang in der Datei: Rechnung.
Alle unsere Rechnungen sind mit einem Sicherheitszertifikat versehen - der ist für Sie nicht von
Bedeutung
Regel Inkasso GmbH & Co. KG
Fredeburger Str. 21
33699 Bielefeld
Postfach 51 20 05
33698 Bielefeld
Tel.: 0521 93212-0
Fax: 0521 92412-15
AG Bielefeld HRA 13169
Steuer-Nummer: 349/5749/0377
Komplementärgesellschaft:
Regel Verwaltungs-GmbH
AG Bielefeld HRA 34932

A szövegben szereplõ számok és az euróban megadott árak ugyancsak véletlenszerûen változnak.

Az e-mailek a függelékükben tartalmazzák a trójait az "abrechnung.zip" nevû állományban.

A károkozó futtatáskor bemásolja magát a "C:\Program Files\Microsoft Common\svchost.exe" állományba és létrehozza a következõ rendszerleíró adatbázis-bejegyzést az automatikus futtatáshoz:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe "" = C:\Program Files\Microsoft Common\svchost.exe

A trójai elhelyez a rendszeren egy rootkit komponenst is, melyet a VirusBuster kártevõellenes eszközei "Rootkit.Autorun.Gen.10" néven azonosítanak.

A kártevõ a felsoroltak mellett minden elérhetõ meghajtó fõkönyvtárában létrehoz egy olyan "autorun.inf" állományt, melynek segítségével az adott meghajtó megnyitásakor automatikusan futtathatja önmagát.

A trójai tevékenysége ennyiben még nem merül ki, ugyanis további károkozásra alkalmas komponenseket próbál letölteni a "univnext.cn" és a "cjusbciw123.com" URL-ekrõl.