Doctor Web przebadał nowe spyware wymierzone w programy księgowe
Wiadomości o aktywnych zagrożeniach | Hot news | All the news | Ostrzeżenia wirusowe
27 czerwca 2016
Trojan.MulDrop6.44482 jest dystrybuowany jako instalator który sprawdza system pod kątem obecności takich antywirusów jak Dr.Web, Avast, ESET lub Kaspersky. Jeśli wykryje jednego z nich, lub jeśli komputer nie wykorzystuje w systemie Windows rosyjskich ustawień językowych, to dropper sam zakończy swoją pracę. W każdym innym przypadku zapisuje na dysku program pakujący 7z i archiwum chronione hasłem. Następnie pozyskuje z archiwum plik za plikiem. Pośród nich znajduje się kilka programów i bibliotek dynamicznych obsługujących różne cele. Jednym z wypakowanych programów, wykrywanym przez Dr.Web jako Trojan.Inject2.24412, jest trojan wbudowany w procesy złośliwej biblioteki uruchamianej na zainfekowanym komputerze. Drugi program rozpakowany przez droppera to Trojan.PWS.Spy.19338 — program szpiegujący (trojan typu spyware) wysyłający teksty wprowadzane w oknach różnych programów, włączając w to programy księgowe.
Trojan.PWS.Spy.19338 jest uruchamiany bezpośrednio w pamięci komputera bez zapisywania go na dysku w formie odszyfrowanej. Tym samym dysk zawiera tylko jego zaszyfrowaną kopię. Głównym celem tego trojana jest logowanie naciśnięć klawiszy i zbieranie informacji o systemie. Oprócz tego moduł keyloggera wysyła do twórców wirusa dane z historii schowka. Trojan.PWS.Spy.19338 potrafi uruchamiać programy z lub bez ich pośredniego zapisywania na dysku. Każdy moduł tego trojana realizuje swoje własne funkcje.
Wszystkie informacje wysyłane na serwer przez Trojan.PWS.Spy.19338 są najpierw szyfrowane z użyciem algorytmu RC4, a następnie poddawane operacji XOR. Trojan zapisuje przechwycone naciśnięcia klawiszy na dysku w specjalnym pliku i w minutowych odstępach przesyła jego zawartość na serwer. Trojan wysyła również nazwę okna w którym zarejestrowano wysyłane naciśnięcia klawiszy. Złośliwy program monitoruje aktywność użytkownika w następujących aplikacjach:
- 1C w wersji 8
- 1C w wersji 7 i 7.7
- SBIS++
- Skype
- Microsoft Word
- Microsoft Excel
- Microsoft Outlook
- Microsoft Outlook Express i Windows Mail
- Mozilla Thunderbird
Dodatkowo trojan zbiera informacje o podłączonych urządzeniach obsługujących karty Smart Card. Odrębne komponenty wirusa Trojan.PWS.Spy.19338 pozwalają na wysyłanie na serwer C&C informacji o systemie komputera.
Antywirusy Dr.Web wykrywają i usuwają wszystkie wymienione powyżej złośliwe programy, tym samym nie stanowią one żadnego zagrożenia dla naszych użytkowników. Specjaliści Doctor Web dziękują firmie Yandex za udostępnienie do badań próbek trojana.