Skoči na vsebino

SI-CERT 98-01 / Trojanski konj Ie080898.exe

Na poštni seznam NTBugTraq je 10.8.1998 prispelo obvestilo o elektronski pošti, ki vsebuje trojanskega konja, tj. program, ki se predstavlja kot nadgradnja MS Internet Explorer pregledovalnika, v resnici pa se program namesti na računalnik in predvidoma pošilja podatke o njem na nekaj naslovov na Internetu. Trojanski konj lahko deluje le v Microsoft Windows 95/98/NT okolju.

Posto je dne 8.8.1998 prejelo tudi nekaj uporabnikov v Sloveniji.

Opis trojanskega konja

Sporocilo ima navedena za izvorni naslov (From) in opis (Subject) navedena:

From: Microsoft Internet Explorer Support Center
Subject: FREE! Your upgrade for Microsoft Internet Explorer

in vsebuje priogo (attachment) z imenom Ie080898.exe. Ostala polja v glavi sporocila in analiza pripetega programa nakazujeta, da izvira iz Bolgarije. Če program zaženete, se na direktoriju %SYSTEMROOT% ustvari program z imenom shell32.exe, poleg tega pa spremeni vrednost ključa.

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunDefault

v registru (Windows Registry). To omogoca zagon omenjenega programa shell32.exe vsakič, ko se računalnik zazene. Takrat se na nekaj tujih naslovov pošlje zaenkrat se neznano sporočilo, ki najverjetneje predstavlja podatke iz diska računalnika, na katerem se je trojanski konj “naselil”.

Rešitev

OPOZORILO: navedeno rešitev uporabljate na lastno odgovornost, predvsem svetujemo previdnost pri spreminjanju MS

Windows registra. Zaenkrat tudi ni znano, katere podatke z osebnega računalnika program pošilja, zato ni nujno, da je rešitev popolna.

Če ste zgoraj navedeno sporočilo prejeli, ga pobrišite; nikakor pa ne zazenite pripetega programa. Če ste program vseeno zagnali,

potem preverite, ali se na vašem računalniku nahaja opisani trojanski konj:

1.preverite, ali se na direktoriju %SYSTEMROOT% nahaja datoteka z imenom shell32.exe tako, da zaženete MS-DOS okno,

nato pa vpišete:

C:> cd %systemroot%

C:WINDOWS> dir shell32.exe

če ste datoteko našli, jo pobrišite.

2.preverite nastavitev ključa v registru tako, da pozenete Registry Editor (izberete Start->Run, vpisite v okence “regedit”), nato pa

izberite ključ

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

in preverite nastavitev z imenom “Default”; če se tam nahaja tudi “shell32.exe”, potem ga izbrisite iz nastavitve (desni klik z misko na “Default” in izberite “Modify”).

Uporabnikom MS Windows sistemov svetujemo redno spremljanje varnostnih problemov na

http://www.eu.microsoft.com/security/.

Preberite tudi

SI-CERT 2021-03 Širjenje okužb s trojanskim konjem QBot

Povzetek QBot (tudi Qakbot) je trojanski konj, prvenstveno namenjen kraji podatkov iz okuženega sistema, ki je v različnih oblikah prisoten že več kot 10 let. V zadnjih različicah je pridobil …
Več

SI-CERT 2021-02 / Kritične ranljivosti Exim poštnega strežnika

V sistemu za posredovanje e-sporočil (MTA) Exim je bilo odkritih več varnostnih pomanjkljivosti, med njimi so tudi take, ki omogočajo izvajanje ukazov na daljavo s povišanimi (root) pravicami (remote command execution – RCE). Ranljivosti so prisotne v vseh različicah Exim MTA izdanih do trenutno zadnje verzije 4.94.2. Vsem uporabnikom svetujemo takojšnjo posodobitev na zadnjo dostopno različico.
Več

SI-CERT 2021-01 / Kritične ranljivosti Microsoft Exchange strežnikov

Microsoft je izdal popravke, s katerimi je zakrpal več 0-day kritičnih ranljivosti Microsoft Exchange strežnikov. Po podatkih Microsofta naj bi se pred izdajo popravkov ranljivosti že izkoriščale v posameznih napadih, po podatkih drugih odzivnih centrov pa naj bi bil obseg izkoriščanja ranljivosti precej večji, kot je bilo prvotno domnevano.
Več