[Tuflya07]

Trojan.Win32. Inject.arjs




Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE-EXE файл). Имеет размер 103936 байт. Упакована неизвестным упаковщиком. Написана на C++.
Инсталляция

При запуске троянец копирует свой исполняемый файл в системный каталог Windows под следующим именем:
%System%\<rnd>.exe
Где <rnd> – случайная последовательность из 7 цифр или букв латинского алфавита.

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"=" C:\Windows\system32\userinit.exe,\\?\globalroot\
systemroot\system32\<rnd>.exe,"

Деструктивная активность

Троянец завершает свое выполнение при обнаружении в своем адресном пространстве библиотеки с именем:
sbiedll.dll
а также при наличии на компьютере пользователя файла:
%System%\drivers\vmhgfs.sys
Таким образом вредонос противодействует технологиям автоматического анализа программ для обнаружения их вредоносной активности.

Троянец запускает свою копию и завершает работу.

Копия троянца выполняет следующие действия:
проверяет наличие строки "С:\sand-box\" в пути к своему оригинальному файлу. Если строка найдена, то троянец завершает свою работу и удаляет свой исполняемый файл.
проверяет наличие установленных антивирусов на зараженном компьютере путем поиска окон с именем класса "____AVP.Root" для Антивируса Касперского, проверки наличия файла с именем "%system%\drivers\avgtdix.sys" для AVG Anti-virus, ключа системного реестра "HKLM\Software\Avira\AntiVir PersonalEdition Classic\" для Avira AntiVir и именованного канала "\\\\.\\pipe\\acsipc_server" для Agnitum Outpost.
пытается остановить или помешать работе найденных антивирусов.
ищет системный процесс "services.exe" и внедряет в его адресное пространство код библиотеки, которая содержится в теле данной троянской программы и детектируется Антивирусом Касперского как Trojan-Spy.Win32.Shiz.cj.

После этого троянец завершает свою работу.

Вредоносная библиотека, внедренная в процесс "services.exe", выполняет следующие действия:
Создает поток, в котором в бесконечном цикле устанавливает функции-перехватчики на следующие API-функции:
getaddrinfo
gethostbyname
inet_addr
CryptEncrypt
CreateFileW
GetFileAttribute***W
send
WSASend
RCN_R50Buffer
GetWindowText
Что позволяет вредоносу следить и анализировать сетевой трафик, шифруемые данные и создаваемые файлы.
Отправляет запрос на следующий ресурс:
http://brandavion.com/knok.php?id=<имя пользователя>!
<имя компьютера пользователя>!<метка тома и серийный
номер>&ver=10&up=89811&os=<сведения об операционной системе>
В ответ получает URL для загрузки файла, файл сохраняется во временном каталоге текущего пользователя Windows со случайным именем:
%Temp%\<rnd>.tmp
Где <rnd> - случайный набор цифр и латинских букв, например, "6D5".

На момент создания описания ресурс был недоступен.

Также троянец может получать команды для дальнейшей своей работы в виде параметра для ключа системного реестра:
[HKLM\Software\Microsoft]
Таким образом в зависимости от имени параметра ключа реестра вредонос может:
загружать по полученному от злоумышленник URL и запускать на исполнение файл, который сохраняется под следующим именем:
С:\temp_file_bin
удалять файлы и каталоги
выполнять рекурсивное удаление всех файлов и каталогов на всех доступных логических дисках компьютера пользователя, после чего завершать процессы:
smss.exe
csrss.exe
lsass.exe
winlogon.exe
Внедряет вредоносный код в следующие процессы:
iexplore.exe
opera.exe
java.exe
javaw.exe
explorer.exe
isclient.exe
intpro.exe
mnp.exe
loadmain.ex
код устанавливает перехватчик API-функции "HttpSendRequest", выполняющий функционал кейлоггера. Собранные данные о посещенных сайтах и нажатых клавишах сохраняются в следующем файле:
%ProgramFiles%\Common Files\keylog.txt
Проверяет наличие установленных антивирусов и пытается завершить или помешать их работе.
Добавляет запись в таблицу сетевых маршрутов (тем самым блокируя доступ к ресурсам), выполнив команды:
route.exe -p add <IP адрес1> mask <маска подсети> <IP адрес2>
Где <IP адрес2> - IP адрес компьютера пользователя;

<IP адрес1> - IP адрес блокируемых вредоносом ресурсов. Вредонос блокировал доступ к следующим IP адресам: 74.55.143.0
62.67.184.0
208.43.44.0
188.40.74.0
212.59.118.0
81.176.67.0
87.242.75.0
83.102.130.0
207.44.254.0
75.125.212.0
74.86.125.0
75.125.43.0
75.125.189.0
74.54.46.0
74.54.130.0
174.120.184.0
174.120.185.0
174.133.38.0
74.54.139.0
74.86.232.0
74.53.70.0
208.43.71.0
174.120.186.0
75.125.185.0
74.55.74.0
95.140.225.0
94.236.0.0
94.23.206.0
93.191.13.0
93.184.71.0
92.53.106.0
92.123.155.0
91.209.196.0
91.199.212.0
91.121.97.0
90.183.101.0
90.156.159.0
89.202.157.0
89.202.149.0
89.111.176.0
89.108.66.0
88.221.119.0
87.242.79.0
87.242.74.0
87.242.72.0
87.238.48.0
87.230.79.0
87.106.254.0
87.106.242.0
85.31.222.0
85.255.19.0
85.214.106.0
85.17.210.0
85.12.57.0
84.40.30.0
83.223.117.0
83.222.31.0
83.222.23.0
83.202.175.0
82.98.86.0
82.165.103.0
82.151.107.0
82.117.238.0
81.24.35.0
81.177.31.0
81.176.66.0
80.86.107.0
80.237.132.0
80.190.154.0
80.190.130.0
80.153.193.0
79.125.5.0
78.47.87.0
78.137.164.0
78.108.86.0
75.125.82.0
75.125.29.0
74.55.40.0
74.53.201.0
74.52.233.0
74.50.0.0
74.208.20.0
74.208.158.0
74.125.77.0
72.32.70.0
72.32.149.0
72.32.125.0
72.3.254.0
72.232.246.0
70.84.211.0
69.93.226.0
69.57.142.0
69.20.104.0
69.18.148.0
69.162.79.0
68.177.102.0
67.227.172.0
67.225.206.0
67.192.135.0
67.19.34.0
67.15.231.0
67.15.103.0
67.134.208.0 66.77.70.0
66.249.17.0
66.223.50.0
65.55.240.0
65.55.184.0
65.175.38.0
64.78.182.0
64.66.190.0
64.41.151.0
64.41.142.0
64.246.4.0
64.202.189.0
64.13.134.0
64.128.133.0
63.85.36.0
62.75.216.0
62.75.163.0
62.213.110.0
62.189.194.0
62.146.66.0
62.146.210.0
62.14.249.0
38.113.1.0
217.174.103.0
217.170.21.0
217.16.16.0
217.106.234.0
216.99.133.0
216.55.183.0
216.49.94.0
216.49.88.0
216.246.90.0
216.239.122.0
216.12.145.0
216.10.192.0
213.31.172.0
213.220.100.0
213.198.89.0
213.171.218.0
213.133.34.0
212.8.79.0
212.72.62.0
212.67.88.0
212.47.219.0
209.87.209.0
209.62.68.0
209.62.112.0
209.51.167.0
209.216.46.0
209.160.22.0
209.157.69.0
209.124.55.0
208.79.250.0
207.66.0.0
207.46.232.0
207.46.20.0
207.46.18.0
207.44.154.0
206.204.52.0
205.227.136.0
205.178.145.0
204.14.90.0
203.160.188.0
199.203.243.0
198.6.49.0
195.70.37.0
195.64.225.0
195.55.72.0
195.210.42.0
195.2.240.0
195.146.235.0
195.137.160.0
194.33.180.0
194.206.126.0
194.112.106.0
194.109.142.0
194.0.200.0
193.71.68.0
193.69.114.0
193.66.251.0
193.24.237.0
193.193.194.0
193.17.85.0
193.110.109.0
193.1.193.0
193.0.6.0
192.150.94.0
188.93.8.0
18.85.2.0
166.70.98.0
165.160.15.0
162.40.10.0
155.35.248.0
150.70.93.0
149.101.225.0
141.202.248.0
139.91.222.0
128.130.60.0
128.130.56.0
128.111.48.0


Получает ресурсы и сохраненные пароли к ним, анализируя файлы настроек браузеров.
Ворует банковские реквизиты пользователей следующих систем онлайн банкинга:
Inter-PRO Client
РФК Клиент-Web
FAKTURA.ru
RAIFFEISEN
WebMoney Keeper
Для обхода встроенного брандмауэра Windows XP (Windows Firewall) создает ключи системного реестра:
[HKLM\System\CurrentControlSet\Services\SharedAcces s\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplicati ons\List]
"%System%\services.exe" = "%System%\services.exe :*:Enabled:svchost"

[HKLM\System\CurrentControlSet\Services\SharedAcces s\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\L ist]
"<rnd2>:TCP" = "<rnd2>:TCP:*:Enabled:services.exe"
Где <rnd2> - случайное число.

Создает на зараженной системе SOCKS-прокси сервер на случайном TCP порте, с помощью которого отсылает злоумышленнику собранные данные:
http://******avion.com/socks.php