18.06.2014

Specjaliści ds. bezpieczeństwa z firmy Doctor Web dokonali analizy trojana o nazwie Trojan.Tofsee. To złośliwe oprogramowanie składa się z wielu komponentów i może wykonywać szereg zróżnicowanych zadań, ale jego głównym celem jest rozsyłanie spamu. Szczególną uwagę zwraca jednak jego inna, nietypowa funkcja. Jeden z modułów trojana odpowiada za usuwanie innego malware z zainfekowanych komputerów przypominając tym samym w działaniu program antywirusowy.

Niekiedy użytkownicy lekceważą potrzebę ochrony swoich komputerów za pomocą oprogramowania antywirusowego, skutkiem czego ich systemy zostają zainfekowane. Można powiedzieć, że ci użytkownicy, których komputery zostały zainfekowane złośliwym programem Trojan.Tofsee mają nieco więcej szczęścia niż inni — oprócz rozsyłania spamu, trojan potrafi także wyleczyć system z innych zagrożeń, co czyni zaskakująco skutecznie.

Trojan.Tofsee rozprzestrzenia się na różne sposoby: przez Skype, portale społecznościowe i pendrive’y. W pierwszym przypadku, przestępcy wykorzystują najpopularniejsze techniki inżynierii społecznej, próbując przekonać użytkowników, że w internecie zamieszczone są kompromitujące ich zdjęcia i filmy. Chociaż ten prosty trik stosowany jest przez osoby zajmujące się dystrybucją wirusów od wielu lat, ludzie nadal dają się na niego nabrać.

Specjalny moduł, który jest pobierany z serwera należącego do cyberprzestępców, odpowiada za dystrybucję programu Trojan.Tofsee za pośrednictwem Twittera, czy Facebooka, a także Skype. Wiadomości przesyłane przez moduł są generowane przy użyciu szablonu znajdującego się w pliku konfiguracyjnym, a następnie wysyłane do użytkowników portali społecznościowych w ich rodzimym języku.

W tekście wiadomości znajduje się link do strony, na której rzekomo znajdują się kompromitujące materiały. Aby jednak możliwe było ich obejrzenie, użytkownik proszony jest o pobranie wtyczki do przeglądarki – w rzeczywistości jest to Trojan.Tofsee.

Aby wysyłać wiadomości za pośrednictwem Twittera, czy Facebooka, złośliwy moduł korzysta z danych zapisanych w plikach cookie przechowywanych w przeglądarkach Microsoft Internet Explorer, Mozilla Firefox, Opera, Safari i Google Chrome. W celu wysyłania wiadomości przez Skype, moduł aktywuje przyciski w okienku aplikacji. Moduł potrafi również obejść zabezpieczenie CAPTCHA, wysyłając obrazy na serwer rozpoznający, który z kolei zwraca do trojana tekst, który jest wpisywany do formularza.

Inny moduł ułatwia dystrybucję trojana za pomocą przenośnych pamięci masowych. Również w tym przypadku, twórcy wirusa postanowili nie odkrywać koła na nowo i posłużyli się często stosowanym rozwiązaniem: moduł zapisuje plik wykonywalny programu Trojan.Tofsee w koszu i tworzy plik autorun.inf w katalogu głównym urządzenia. Serwer sterujący wydaje natomiast polecenie zainfekowania systemu.

Kolejny moduł umożliwia aktualizację jądra programu Trojan.Tofsee z serwera hakerów. Wszystkie parametry potrzebne do przeprowadzenia tej procedury są zapisane w specjalnym pliku konfiguracyjnym. Jeżeli któregoś z tych parametrów brakuje, trojan nie dokonuje aktualizacji, tylko pobiera z serwera takie oto, dość specyficzne zdjęcie:

Jeszcze bardziej niezwykły jest moduł przeznaczony do wyszukiwania i usuwania wszystkich wykrytych trojanów i innego malware z zainfekowanego komputera. Potrafi on przeszukiwać dyski pod kątem plików z określonej listy, a także wpisy w rejestrze Windows oraz trwające procesy i usuwa wykryte złośliwe pliki. Nawet jeśli użytkownik nie ma więc programu antywirusowego, Trojan.Tofsee „zadba” o bezpieczeństwo systemu.

Głównym celem trojana jest rozsyłanie spamu. Tekst wiadomości spam jest generowany przy użyciu specjalnych szablonów, które trojan pobiera z serwera cyberprzestępców. W głównym module Trojan.Tofsee zaimplementowane są rutynowe procedury networking i SMTP. Po nawiązaniu połączenia z serwerem, wysyłane są mu klucze odszyfrowujące. Następnie trojan wysyła dane na serwer zarządzający, z którego otrzymuje dalsze polecenia. Warto wspomnieć, że do tworzenia spamu trojan wykorzystuje własny język skryptowy, co jest dość rzadkie w przypadku złośliwego oprogramowania.

Obecnie Trojan.Tofsee może pobrać ze zdalnych serwerów 17 wtyczek, zaimplementowanych jako biblioteki DLL. Oprócz wyżej opisanych modułów, Trojan.Tofsee wykorzystuje następujące wtyczki:

• Wtyczka służąca do weryfikacji adresów zdalnego hosta, przesyłanych do wtyczki w formie bloku danych konfiguracyjnych;
• Wtyczka do przeprowadzania ataków DDoS. Umożliwia ona dokonywanie dwóch rodzajów ataków: http flood i syn flood;
• Zaszyfrowana wtyczka Trojan.PWS.Pony.5;
• Wtyczka, która tworzy logi danych wykorzystywanych przez przeglądarkę Internet Explorer. Wtyczka ta posiada własny plik konfiguracyjny, wypakowuje z niego bibliotekę IEStub.dll i wstrzykuje ją do procesu przeglądarki;
• Wtyczka przetwarzająca pliki graficzne, z których następnie korzystają inne wtyczki;
• Moduł pobierający adresy e-mail z Internet Account Manager i PStoreCreateInstance, generuje adresy nadawców wg wzoru % NAMEPC% @mail.ru i próbuje wysyłać wiadomości do obiorców z wygenerowanej listy;
• Wtyczka pobierająca Trojan.BtcMine.148, który służy do wydobywania bitcoinów. Wtyczka instaluje w systemie Trojan.BtcMine.148 i nadaje mu wszystkie potrzebne parametry operacyjne;
• Wtyczka, która instaluje Trojan.Siggen.18257 w katalogu system32\drivers\ jako plik o losowo wybranej nazwie i rozszerzeniu .sys, po czym go uruchamia;
• Moduł proxy HTTP i socks5;
• Wtyczka generująca i wysyłająca wiadomości e-mail; generuje wiadomości w oparciu o własny język skryptowy i przesyła je za pomocą protokołu HTTPS; zaimplementowane szyfrowanie SSL za pomocą Microsoft Unified Security Protocol Provider;
• Przechwytywanie ruchu sieciowego na niskim poziomie i biblioteka procedur wykonują swe zadania przy użyciu specjalnego sterownika. Przeszukuje on strumień danych pod kątem informacji przesyłanych za pomocą protokołu FTP i SMTP i może modyfikować adres i zawartość wiadomości;
• Wtyczka generująca i przetwarzająca szablony konfiguracyjne;
• Wtyczka oparta na języku skryptowym, uczestnicząca w tworzeniu wiadomości typu spam.

Sygnatury programu Trojan.Tofsee i wszystkich jego modułów zostały dodane do baz wirusów Dr.Web, w związku z czym trojan ten nie stanowi zagrożenia dla komputerów chronionych programami antywirusowymi Dr.Web. Nie warto liczyć na to, że nam się poszczęści i że złapiemy właśnie tego wirusa, który będzie chronić nasze komputery przed innymi zagrożeniami, które jest w stanie rozpoznać. Znacznie bardziej bezpieczna jest tradycyjna i sprawdzona metoda, jaką jest zainstalowanie aktualnej wersji oprogramowania antywirusowego i regularna aktualizacja definicji wirusów. Poza tym, pamiętajmy, że nawet w przypadku posiadania tylko tego jedynego trojana nasz komputer nie jest bezpieczny i w dalszym ciągu, bez naszej wiedzy, może być wykorzystywany przez cyberprzestepców.