Isang virus na itinago bilang isang pag-update ng Windows
Ang Bayrob Trojan ay nagkukunwari bilang serbisyo ng Windows Update at sinusubukang kumuha ng kumpidensyal na data o magbukas ng backdoor sa mga nahawaang computer.
Sa karamihan ng mga kaso, sinusubukan ng Bayrob Trojan na itago ang sarili bilang serbisyo ng awtomatikong pag-update ng Windows. Alinsunod dito, lumilikha ito ng serbisyo ng Windows Update at pagkatapos ay magbubukas ng backdoor sa TCP port 81. Sa pamamagitan nito, inilalantad nito ang mga nahawaang PC at nag-i-install ng proxy server sa kanila.
Ang Trojan ay patuloy na sinusubaybayan ang mga web page na binisita ng user at naisaaktibo kapag ang eBay web page ay binuksan.
Kapag nagsimula ang Bayrob Trojan, ginagawa nito ang mga sumusunod na aksyon:
1. Lumikha ng mga sumusunod na file:
%System%\windowsupdate.exe
%System%\4033ccf\cfg
2. Lumikha ng sumusunod na entry sa database ng pagpaparehistro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentV ersion\Run"Windows Update" = "C:\WINDOWS\system32\WindowsUpdate.exe"
3. Lumilikha ng isang serbisyo na tinatawag na "Windows Update".
4. Lumikha ng sumusunod na entry sa database ng pagpaparehistro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Update
5. Baguhin ang mga sumusunod na entry sa database ng pagpaparehistro:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVe rsion\Internet Settings"ProxyEnable" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Internet Settings\ZoneMap"IntranetName" = "01000000"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Internet Settings\ZoneMap"UNCasIntranet" = "01000000"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVe rsion\Internet Settings\ZoneMap"ProxyBypass" = "01000000"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
6. Lumikha ng sumusunod na file:
Data\Mozilla\Firefox\Profiles\[kasalukuyang profile]\user.js
7. Magbukas ng backdoor sa pamamagitan ng TCP port 80 at lumikha ng proxy.
8. Sinusubaybayan kapag binisita ng user ang mga website ng eBay.
9. Kumokonekta sa mga malalayong server.
