Gmail jelszavakat lopkod a Geemarc trójai
A Geemarc trójai legfőbb feladata, hogy Gmail postafiókokhoz tartozó felhasználóneveket és jelszavakat szerezzen meg.
A Geemarc trójai számos fájl létrehozása után módosítja a regisztrációs adatbázist. Az új állományok esetében véletlenszerű karaktereket is felhasznál, így némiképp nehezebbé válhat az azonosítása. Viszont fontos ismertető jele, hogy minden esetben a Program Files könyvtárba egy MateMedia nevű mappát hoz létre, és egy G-Archiver nevű alkalmazásnak próbálja “kiadni” magát.
A Geemarc legfőbb célja, hogy a felhasználó internetes tevékenységének figyelésével különböző felhasználónevekhez és jelszavakhoz jusson hozzá. A kártevő elsősorban a Gmail postafiókokhoz tartozó belépési információk megszerzésére specializálódott.
Amikor a Geemarc trójai elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehozza a következő fájlokat:
%UserProfile%\Desktop\G-Archiver 1.0.lnk
%UserProfile%\Start Menu\Programs\MateMedia\G-Archiver\G-Archiver 1.0.lnk
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-Archive\Banner.gif
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-Archiver 1.0.exe
%ProgramFiles%\MateMedia\G-Archiver 1.0\G-ArchiverIcon.ico
%ProgramFiles%\MateMedia\G-Archiver 1.0\License.rtf
%ProgramFiles%\MateMedia\G-Archiver 1.0\Mail.dll
%ProgramFiles%\MateMedia\G-Archiver 1.0\SM.dll
%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_6FEFF9B68
218417F98F549.exe
/>%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_72F4B9A36
36570A0827CE3.exe
/>%Windir%\Installer\{CE5F519C-E1E6-4DBC-9466-233F156244C7}\_A01885BE2
01430C921BA79.exe
2. Létrehozza az alábbi könyvtárakat és fájlokat:
%Windir%\Installer
%Windir%\Installer\[véletlenszerű karakterek].msi
%Windir%\Installer\[véletlenszerű karakterek].msi
3. Átmeneti fájlokat készít a %UserProfile%\Local Settings\Temp könyvtárba.
4. A regisztrációs adatbázisban létrehozza a következő bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Installer\Assemblies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninsta
ll\{CE5F519C-E1E6-4DBC-9466-233F156244C7}
/>HKEY_LOCAL_MACHINE\Software\Classes\Installer\Assemblies
HKEY_CURRENT_USER\Software\Microsoft\Installer\Products\C915F5EC6E1E
CBD4496632F35126447C
/>HKEY_CURRENT_USER\Software\Microsoft\Installer\UpgradeCodes\DC62B62C
2A90373449E4936579767009
/>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\Program
Files”MateMedia” = ” “
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\Program
Files\MateMedia”G-Archiver 1.0″ = ” ”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\Program
Files\MateMedia\G-Archiver 1.0″G-Archive” = ” ”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\DocumentsandSettings\AllUsers\StartMenu\Programs”MateMe
dia
” = ” ”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\DocumentsandSettings\AllUsers\StartMenu\Programs\MateMed
ia”G-Archiver
” = ” ”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Install
er\Folders\C:\Windows\Installer”{CE5F519C-E1E6-4DBC-9466-233F156244C7
}”
= ” “
5. Gmailben létrehozott postafiókokhoz tartozó felhasználóneveket és jelszavakat próbál megszerezni.
