Engedelmesség jellemzi az Oficla trójait

Az Oficla.AE trójai egy távolról vezérelhető kártékony program, amely egy konfigurációs állomány alapján végzi el a különféle feladatait. A támadók e fájlban minden olyan műveletet meghatározhatnak, amelyeket a trójainak végre kell hajtania. A vírusterjesztőknek ez esetben elsősorban további kártékony programok PC-kre való feljuttatása a célja.

Az Isidor Biztonsági Központ jelentése szerint az Oficla.AE a Windows rendszerkönyvtárába valamint a  "Documents and Settings" mappába másolja be a saját állományait, majd ezt követően a 80-as porton keresztül folytat hálózati kommunikációt. Ennek során egy értesítőt küld a terjesztői számára, és különféle rendszerinformációk kiszivárogtatásával egy leírást ad a megfertőzött számítógép legfontosabb paramétereiről.

Amikor az Oficla.AE trójai elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő állományokat:
%System%\ttux.qqo
c:\documents and settings\administrator\application data\microsoft\office\vb11.pip
c:\documents and settings\administrator\application data\microsoft\office\word11.pip
c:\documents and settings\administrator\local settings\application data\microsoft\office\msodata005.dat
c:\documents and settings\administrator\local settings\application data\microsoft\office\msodatalast.dat
c:\documents and settings\administrator\local settings\temp\e.tmp

2. A regisztrációs adatbázisban módosítja az alábbi értéket:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell="explorer.exe rundll32.exe ttux.qqo uudigo"

3. Csatlakozik egy távoli szerverhez a 80-as TCP porton keresztül.

4. Értesítést küld a terjesztői számára a megfertőzött számítógép legfontosabb rendszerinformációiról.

5. Konfigurációs állományokat tölt le, amelyek alapján további kártékony műveleteket hajt végre.

8. A konfigurációs fájl alapján különböző szerverekről, különféle nevekkel ellátott állományokat tölt le, majd futtat.

6. Fogadja a terjesztői parancsait.

7. Bizalmas adatokat tölt fel előre meghatározott távoli szerverekre.