Defend what you create

Other Resources

Zamknij

Library
My library

+ Add to library

Profile

Back to news

Doctor Web przebadał nowe spyware wymierzone w programy księgowe

27 czerwca 2016

Niektóre nowoczesne trojany są złożonymi, wielokomponentowymi złośliwymi programami potrafiącymi wykonywać szerokie spektrum funkcji. W tej informacji zamierzamy skupić się na trojanie typu dropper nazwanym Trojan.MulDrop6.44482, którego próbki zostały do nas dostarczone przez Yandex. To malware zostało przeznaczone do rozpowszechniania innych złośliwych programów, włączając niebezpieczne spyware zaprojektowane do atakowania działów księgowości w rosyjskich firmach.

Trojan.MulDrop6.44482 jest dystrybuowany jako instalator który sprawdza system pod kątem obecności takich antywirusów jak Dr.Web, Avast, ESET lub Kaspersky. Jeśli wykryje jednego z nich, lub jeśli komputer nie wykorzystuje w systemie Windows rosyjskich ustawień językowych, to dropper sam zakończy swoją pracę. W każdym innym przypadku zapisuje na dysku program pakujący 7z i archiwum chronione hasłem. Następnie pozyskuje z archiwum plik za plikiem. Pośród nich znajduje się kilka programów i bibliotek dynamicznych obsługujących różne cele. Jednym z wypakowanych programów, wykrywanym przez Dr.Web jako Trojan.Inject2.24412, jest trojan wbudowany w procesy złośliwej biblioteki uruchamianej na zainfekowanym komputerze. Drugi program rozpakowany przez droppera to Trojan.PWS.Spy.19338 — program szpiegujący (trojan typu spyware) wysyłający teksty wprowadzane w oknach różnych programów, włączając w to programy księgowe.

Trojan.PWS.Spy.19338 jest uruchamiany bezpośrednio w pamięci komputera bez zapisywania go na dysku w formie odszyfrowanej. Tym samym dysk zawiera tylko jego zaszyfrowaną kopię. Głównym celem tego trojana jest logowanie naciśnięć klawiszy i zbieranie informacji o systemie. Oprócz tego moduł keyloggera wysyła do twórców wirusa dane z historii schowka. Trojan.PWS.Spy.19338 potrafi uruchamiać programy z lub bez ich pośredniego zapisywania na dysku. Każdy moduł tego trojana realizuje swoje własne funkcje.

Wszystkie informacje wysyłane na serwer przez Trojan.PWS.Spy.19338 są najpierw szyfrowane z użyciem algorytmu RC4, a następnie poddawane operacji XOR. Trojan zapisuje przechwycone naciśnięcia klawiszy na dysku w specjalnym pliku i w minutowych odstępach przesyła jego zawartość na serwer. Trojan wysyła również nazwę okna w którym zarejestrowano wysyłane naciśnięcia klawiszy. Złośliwy program monitoruje aktywność użytkownika w następujących aplikacjach:

  • 1C w wersji 8
  • 1C w wersji 7 i 7.7
  • SBIS++
  • Skype
  • Microsoft Word
  • Microsoft Excel
  • Microsoft Outlook
  • Microsoft Outlook Express i Windows Mail
  • Mozilla Thunderbird

Dodatkowo trojan zbiera informacje o podłączonych urządzeniach obsługujących karty Smart Card. Odrębne komponenty wirusa Trojan.PWS.Spy.19338 pozwalają na wysyłanie na serwer C&C informacji o systemie komputera.

Antywirusy Dr.Web wykrywają i usuwają wszystkie wymienione powyżej złośliwe programy, tym samym nie stanowią one żadnego zagrożenia dla naszych użytkowników. Specjaliści Doctor Web dziękują firmie Yandex za udostępnienie do badań próbek trojana.

Więcej na temat Trojan.MulDrop6.44482

Więcej na temat Trojan.PWS.Spy.19338

Tell us what you think

You will be awarded one Dr.Webling per comment. To ask Doctor Web’s site administration about a news item, enter @admin at the beginning of your comment. If your question is for the author of one of the comments, put @ before their names.


Other comments

The Russian developer of Dr.Web anti-viruses

Doctor Web has been developing anti-virus software since 1992

Dr.Web is trusted by users around the world in 200+ countries

The company has delivered an anti-virus as a service since 2007

24/7 tech support

© Doctor Web
2003 — 2019

Doctor Web to rosyjski producent oprogramowania antywirusowego Dr.Web. Rozwijamy nasze produkty od 1992 roku.

125040, Rosja, Moskwa, 3. ulica Jamskiego Pola 2-12A