Skoči na vsebino

SI-CERT 98-01 / Trojanski konj Ie080898.exe

Na poštni seznam NTBugTraq je 10.8.1998 prispelo obvestilo o elektronski pošti, ki vsebuje trojanskega konja, tj. program, ki se predstavlja kot nadgradnja MS Internet Explorer pregledovalnika, v resnici pa se program namesti na računalnik in predvidoma pošilja podatke o njem na nekaj naslovov na Internetu. Trojanski konj lahko deluje le v Microsoft Windows 95/98/NT okolju.

Posto je dne 8.8.1998 prejelo tudi nekaj uporabnikov v Sloveniji.

Opis trojanskega konja

Sporocilo ima navedena za izvorni naslov (From) in opis (Subject) navedena:

From: Microsoft Internet Explorer Support Center
Subject: FREE! Your upgrade for Microsoft Internet Explorer

in vsebuje priogo (attachment) z imenom Ie080898.exe. Ostala polja v glavi sporocila in analiza pripetega programa nakazujeta, da izvira iz Bolgarije. Če program zaženete, se na direktoriju %SYSTEMROOT% ustvari program z imenom shell32.exe, poleg tega pa spremeni vrednost ključa.

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunDefault

v registru (Windows Registry). To omogoca zagon omenjenega programa shell32.exe vsakič, ko se računalnik zazene. Takrat se na nekaj tujih naslovov pošlje zaenkrat se neznano sporočilo, ki najverjetneje predstavlja podatke iz diska računalnika, na katerem se je trojanski konj “naselil”.

Rešitev

OPOZORILO: navedeno rešitev uporabljate na lastno odgovornost, predvsem svetujemo previdnost pri spreminjanju MS

Windows registra. Zaenkrat tudi ni znano, katere podatke z osebnega računalnika program pošilja, zato ni nujno, da je rešitev popolna.

Če ste zgoraj navedeno sporočilo prejeli, ga pobrišite; nikakor pa ne zazenite pripetega programa. Če ste program vseeno zagnali,

potem preverite, ali se na vašem računalniku nahaja opisani trojanski konj:

1.preverite, ali se na direktoriju %SYSTEMROOT% nahaja datoteka z imenom shell32.exe tako, da zaženete MS-DOS okno,

nato pa vpišete:

C:> cd %systemroot%

C:WINDOWS> dir shell32.exe

če ste datoteko našli, jo pobrišite.

2.preverite nastavitev ključa v registru tako, da pozenete Registry Editor (izberete Start->Run, vpisite v okence “regedit”), nato pa

izberite ključ

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

in preverite nastavitev z imenom “Default”; če se tam nahaja tudi “shell32.exe”, potem ga izbrisite iz nastavitve (desni klik z misko na “Default” in izberite “Modify”).

Uporabnikom MS Windows sistemov svetujemo redno spremljanje varnostnih problemov na

http://www.eu.microsoft.com/security/.

Preberite tudi

SI-CERT 2020-07 / Zlonamerna koda v potvorjenih sporočilih v imenu NLB

Večje število slovenskih uporabnikov je danes prejelo potvorjeno elektronsko sporočilo, v imenu NLB banke. V priponki se nahaja zlonamerna koda LokiBot
Več

SI-CERT 2020-06 / Kritična ranljivost Windows DNS strežnika

Kritična ranljivost Windows DNS strežnika omogoča zagon poljubne kode na daljavo s pravicami uporabnika Local System Account.
Več

SI-CERT 2020-05 / Lažno sporočilo NIJZ

Na večje število slovenskih elektronskih naslovov je poslano sporočilo z zadevo "Distribucija zaščitne opreme Covid-19 (Ministrstvo za zdravje Slovenija) Junij 2020". Sporočilo vsebuje zip arhiv.
Več