Mondo Knowledge

Quando avviamo Windows,vengono caricate in automatico alcune applicazioni ,impostate di default per partire all'avvio del sistema operativo.Per disabilitare questi programmi andiamo su START/TUTTI I PROGRAMMI/ESECUZIONE AUTOMATICA e,facendo click col tasto destro del mouse sui programmi che non ci interessano siano caricati all'avvio,selezioniamo ELIMINA per cancellare il collegamento che consente la partenza del programma.Infine su START/ESEGUI digitiamo MSCONFIG e nella finestra che si apre (fig.1) andiamo sul selettore avvio ed eliminiamo il segno di spunta su tutte le applicazioni che non vogliamo caricare all'avvio.Questa procedura ci consentira' di snellire la velocita' di avvio e di prevenire l'eventuale attivazione di programmi tipo spyware/adware.

Fig.1

Nome: Trojan: W32/Gpcode

Nomi di rilevazione: Virus.Win32.Gpcode

Categoria: Malware

Tipo: Trojan

Piattaforma: W32

Riepilogo

Conosciuto anche come un cavallo di Troia, questo è un programma ingannevole che esegue azioni aggiuntive all'insaputa dell'utente senza permesso. E non replica.

Ulteriori dettagli

Gpcode è un Trojan che cripta i file con determinate estensioni sulle unità locali e remote e poi chiede all'utente di contattare il suo autore per acquistare una soluzione di decodifica. Quindi, in pratica il trojan rende ostaggi i file dell'utente e chiede un riscatto per "liberarli". Questo è un tipo di attività criminale che non si vedeva da molto tempo.

Il file è un trojan eseguibile PE di circa 56 kilobyte, compresso col compressore di fileUPX.

Esecuzione

Dopo che il file il trojan viene eseguito da un utente, viene creata una chiave di avvio per i suoi file nel registro di Windows:

• [HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run]

Â "servizi" = "[nome file]"

dove [nome file] è il nome del file del Trojan.

Attività

Il trojan inizia a scansionare le unità locali e remote per cercare i file con le seguenti estensioni:

•. Xls

•. Doc

•. Txt

•. Rtf

•. Zip

•. Rar

•. Dbf

•. Htm

•. Html

•. Jpg

•. Db

•. DB1

•. Db2

•. Asc

•. Pgp

Quando un file con uno di questi estensioni viene trovato, il trojan legge nella memoria, crittografa i dati del file con un semplice algoritmo, salva i dati crittografati in un nuovo file (il nome di questo file è 'coder' + nome del file originale: per esempio per il FILE.PGP il trojan creerà il file CODERFILE.PGP), elimina il file originale e quindi rinomina il file appena creato con il nome del file originale.

Dopo di che il trojan crea un file di testo denominato ATTENZIONE!. TXT nella stessa cartella dove si trova il file criptato. Questo file txt contiene il seguente testo:

• Alcuni file sono codificati.

• Per acquistare decoder mail: n781567@yahoo.com

• con oggetto: 000000000032 PGPcoder

Tutti i file cifrati hanno la seguente stringa di 21 byte di testo in loro inizio:

• PGPcoder 000000000032

L'algoritmo di crittografia è abbastanza semplice - il trojan utilizza operazione di aggiunta su dati del file originale con una sola chiave di crittografia byte. Il valore originario della chiave di cifratura è 58 (0x3A) ed è modificato con 2 valori fissi byte che sono 37 (0x25) e 92 (0x5c) dopo la cifratura di ogni successivo byte di dati del file originale.

Mentre che il trojan esegue la scansione di unità locali e remote, mantiene una traccia di tutte le cartelle ed i file trovati nel file AUTOSAVE.SIN che viene creato in una cartella temporanea.

Dopo che tutti i file sono criptati il trojan termina il suo processo, cancella il suo file eseguibile, AUTOSAVE.SIN file e la sua chiave di avvio dal Registro di sistema.

Rilevamento

F-Secure Anti-Virus rileva trojan Gpcode.b con il seguente aggiornamento:

[FSAV_Versione_Database]

Version = 2005-05-23_01

Fonte: F-Secure