Dit is een grote familie van trojans. Een trojan is een virus dat op de computer een soortgelijke techniek gebruikt als het beroemde paard van Troje (http://nl.wikipedia.org/wiki/Paard_van_Troje). Deze trojans zijn zo gebouwd dat ze rootkit-technieken en zeer geavanceerde verstoptechnieken gebruiken. Daarnaast doen zij aan keylogging, dat wil zeggen dat er toetsenbordaanslagen worden ‘afgeluisterd’ en dus onderschept. Hiermee zijn toegangscodes te achterhalen, of andere (financieel) interessante gegevens. Deze gegevens komen dan uiteindelijk op de pc’s van de aanvallers (trojan makers) terecht.

Hoe werkt dat?:
Deze trojans worden vaak via spam verspreid, of door andere malware zoals wormen,backdoors en trojan-downloaders gedownload naar de computer van het slachtoffer. Vaak verstoppen zij zich in de Windows-map en maken ze een opstartsleutel aan in de registry met een verwijzing naar het verstopte programmabestand. Vaak kun je die opstartsleutel vinden onder:
[HKLM\SoftWare\Microsoft\Windows\CurrentVersion\Run]
Vervolgens wordt er vanuit de body van de trojan een DLL in de Windows System-map geplaatst. Met deze DLL wordt het explorer.exe-proces geíinfecteerd. waarmee het spionagegedeelte wordt geactiveerd. De gestolen gegevens worden vaak naar een URL (vaak in China) verzonden die hij intern versleuteld en verborgen bij zich heeft.
Aangezien de gestolen gegevens meestal een echte geldwaarde hebben, is het doel van deze criminelen overduidelijk.

SpicyLemon

Albert Verhulst

Security Information Consultant

www.spicylemon.nl

www.nod32.nl