گروه امداد امنیت کامپیوتر ایران

● سیستمهای تحت تاثیر:
▪ Windows ۲۰۰۰, Windows ۹۵, Windows ۹۸, Windows Me,
▪ Windows NT, Windows Server ۲۰۰۳, Windows XP
Backdoor.Hesive تروجانی است که با باز کردن یک در پشتی روی کامپیوتر مورد نظر (کامپیوتر آسیب پذیر) اجازه دسترسی از راه دور و غیر مجاز یک نفوذگر را به آن کامپیوتر میسر می سازد.
این تروجان ممکن است در قالب یک فایل Microsoft Access ظاهر شود که در این صورت با سوء استفاده از آسیب پذیری موجود در Microsoft Jet Database Engine می تواند خودش را روی کامپیوتر نصب کند.
این تروجان با دریافت کردن فایلها از راه دور می تواند سبب کاهش کارایی شبکه شده و در ضمن اطلاعات محرمانه کاربر را در اختیار نفوذگر قرار دهد.
● توضیح:
وقتی که Backdoor.Hesive اجرا می شود موارد زیر را انجام می دهد:
۱) مسیر %Windir% empcsrse.exe را ساخته و اجرا می کند.
%Windir% متغییری است که پوشه نصب ویندوز را برمی گرداند. به طور پیش فرض این مقدار C:Windows یا C:Winnt است.
۲) مقدار "csrse.exe" = "%Windir% empcsrse.exe" را به رجیستری اضافه می کند:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
بنابراین هر بار که ویندوز اجرا می شود این تروجان نیز اجرا خواهد شد.
۳) سعی می کند به data.lovequintet.com روی پورت ۸۰ یا ۸۰۸۸ دسترسی پیدا کند.
۴) اجازه دسترسی نفوذگر از راه دور و توانایی اجرای موارد زیر را ممکن می سازد:
۵) پیدا کردن پورتهای فعال
۶) پیدا کردن پروسه ها و سرویس ها و ریسمان ها
۷) دریافت کردن و اجرا نمودن فایلها از راه دور
۸) Upload کردن فایل
۹) اجرای system shell
۱۰) تغییر دادن مقادیر رجیستری
۱۱) خاتمه دادن پروسه ها
۱۲ ) جمع آوری اطلاعات سیستم
۱۳) جمع آوری اطلاعات شبکه
۱۴) ارسال اطلاعات جمع آوری شده به [http://]data.lovequintet.com:۸۰۸۸/[REMOVED]/index.php یا [http://]data.lovequintet.com:۸۰/[REMOVED]/index.php.
● نحوه پاک کردن سیستم:
۱) غیر فعال کردن System Restore ویندوز
۲) به روز کردن ضدویروس
۳) چک کردن کل سیستم و حذف کلیه فایلهای آلوده
۴) پاک کردن مقادیر اضافه شده به رجیستری

منبع : مطالب ارسال شده