Skoči na vsebino

SI-CERT 98-01 / Trojanski konj Ie080898.exe

Na poštni seznam NTBugTraq je 10.8.1998 prispelo obvestilo o elektronski pošti, ki vsebuje trojanskega konja, tj. program, ki se predstavlja kot nadgradnja MS Internet Explorer pregledovalnika, v resnici pa se program namesti na računalnik in predvidoma pošilja podatke o njem na nekaj naslovov na Internetu. Trojanski konj lahko deluje le v Microsoft Windows 95/98/NT okolju.

Posto je dne 8.8.1998 prejelo tudi nekaj uporabnikov v Sloveniji.

Opis trojanskega konja

Sporocilo ima navedena za izvorni naslov (From) in opis (Subject) navedena:

From: Microsoft Internet Explorer Support Center
Subject: FREE! Your upgrade for Microsoft Internet Explorer

in vsebuje priogo (attachment) z imenom Ie080898.exe. Ostala polja v glavi sporocila in analiza pripetega programa nakazujeta, da izvira iz Bolgarije. Če program zaženete, se na direktoriju %SYSTEMROOT% ustvari program z imenom shell32.exe, poleg tega pa spremeni vrednost ključa.

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunDefault

v registru (Windows Registry). To omogoca zagon omenjenega programa shell32.exe vsakič, ko se računalnik zazene. Takrat se na nekaj tujih naslovov pošlje zaenkrat se neznano sporočilo, ki najverjetneje predstavlja podatke iz diska računalnika, na katerem se je trojanski konj “naselil”.

Rešitev

OPOZORILO: navedeno rešitev uporabljate na lastno odgovornost, predvsem svetujemo previdnost pri spreminjanju MS

Windows registra. Zaenkrat tudi ni znano, katere podatke z osebnega računalnika program pošilja, zato ni nujno, da je rešitev popolna.

Če ste zgoraj navedeno sporočilo prejeli, ga pobrišite; nikakor pa ne zazenite pripetega programa. Če ste program vseeno zagnali,

potem preverite, ali se na vašem računalniku nahaja opisani trojanski konj:

1.preverite, ali se na direktoriju %SYSTEMROOT% nahaja datoteka z imenom shell32.exe tako, da zaženete MS-DOS okno,

nato pa vpišete:

C:> cd %systemroot%

C:WINDOWS> dir shell32.exe

če ste datoteko našli, jo pobrišite.

2.preverite nastavitev ključa v registru tako, da pozenete Registry Editor (izberete Start->Run, vpisite v okence “regedit”), nato pa

izberite ključ

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

in preverite nastavitev z imenom “Default”; če se tam nahaja tudi “shell32.exe”, potem ga izbrisite iz nastavitve (desni klik z misko na “Default” in izberite “Modify”).

Uporabnikom MS Windows sistemov svetujemo redno spremljanje varnostnih problemov na

http://www.eu.microsoft.com/security/.

Preberite tudi

SI-CERT 2022-03 / Več ranljivosti v produktih podjetja Siemens

Siemens je eden vodilnih proizvajalcev sistemske avtomatizacije v proizvodnji. Objavili so vrsto varnostnih obvestil, med njimi tudi za kritične ranljivosti.
Več

SI-CERT 2022-02 / MSDT Ranljivost (Microsoft Support Diagnostic Tool)

Sistemi Microsoft Windows vsebujejo ranljivost z oznako CVE-2022-30190, ki v določenih primerih napadalcem omogoča izvedbo poljubne kode. V času objave tega obvestila uradni popravki ranljivosti še niso na voljo, sama ranljivost pa se že izkorišča v napadih (t.i. 0-day ranljivost).
Več

SI-CERT 2022-01 / Kibernetski napadi, povezani z vojno v Ukrajini

Trenutno v Sloveniji ne zaznavamo aktivnosti, ki bi bile neposredno povezane z napadi v Ukrajini, vendar bomo na SI-CERT še naprej pozorni na nadaljnji razvoj situacije. Organizacijam in posameznikom podajamo osnovne napotke za zaščito.
Več