Trojany służące do rejestrowania uderzeń klawiszy (keyloggery) to szczególnie groźny rodzaj malware. Są one w stanie wykraść wszelkie wrażliwe dane wpisywane na klawiaturze, włącznie z numerem karty kredytowej czy hasłem do logowania na stronie banku, a następnie wysłać je do niepowołanych do ich posiadania osób.
W czasie instalacji na zaatakowanym komputerze, trojan BackDoor.Saker.1 wykorzystuje szkodliwy kod zawarty w pliku temp.exe, który ma za zadanie obejście systemu kontroli zabezpieczeń systemu Windows (UAC). Fragmenty kodu zawarte we wspomnianym pliku uruchamiane są w kontekście kluczowych procesów systemowych, takich jak explorer.exe.
Następnie za pomocą programu sysrep, uruchamiana jest złośliwa aplikacja ps.exe (Trojan.MulDrop4.61259), która zapisuje w rejestrze Windows klucz o nazwie “Net Security Service”. To właśnie w tej bibliotece plików zgromadzone są główne złośliwe funkcje backdoora. Towarzyszy jej następujący opis:
“keep watch on system security and configuration. if this services is stopped, protected content might not be downloaded to the device” (“Monitoruj ustawienia i zabezpieczenia systemu.
Jeśli ta usługa zostanie przerwana, mogą zostać pobrane niezabezpieczone dane”).
Po uruchomieniu się trojana BackDoor.Saker.1 następuje wymiana danych z serwerem kontroli. Złośliwe oprogramowanie zbiera i przekazuje cyberprzestępcom informacje na temat komputera ofiary, w tym wersję systemu Windows, szybkość procesora, ilość pamięci RAM, nazwę komputera i użytkownika oraz numer seryjny dysku twardego. Następnie, w związku z posiadaną funkcją keyloggera, trojan tworzy specjalny folder, w którym rejestruje znaki, jakie użytkownik wprowadza za pośrednictwem klawiatury, i wysyła je do cyberprzestępców.
Później BackDoor.Saker.1 czeka na odpowiedź ze zdalnego serwera, która może zawierać takie polecenia jak wyłączenie komputera, zniszczenie zawartości systemu czy uruchomienie własnego menedżera plików, który ma m. in zdolność pobierania plików z sieci czy przesyłania plików z zaatakowanego komputera.