Защити созданное

Другие наши ресурсы

Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка Правила обращения

Позвоните

Бесплатно по России:
8-800-333-79-32

Форум | Бот самоподдержки Telegram

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype Telegram

Свяжитесь с нами

Профиль

Профиль

Trojan.PWS.Banker1.28321

Добавлен в вирусную базу Dr.Web:2018-09-19
Описание добавлено:2018-09-25

SHA1:

Загрузчик:

  • 0bc9a778a28ba6abba92330d750fc9769484a9a5
    e9b510a2c58638d00b8a4af7e4f49e8d3a52bcd3
    f2f2eb334719ef6b7a2a522a7eac6f33ee7c810d
    f4b49b874e3715926eaf56d574408a63353b2753
    f10e8e3362834843c9df8bdd5316912c8185e547
    f494bc28a86332db98efbb049b9f9981ef24fd8b
    f5846e4990aa5af2f7e1268223b1710415f11459
    fb64604fbbbdfa888aeb090df7008c15b2e25fe6
    fe2924d1e3d5215273e672e1ea4bb2b1ee57e5e8
        

VBScript

  • 9dbc627eae65c147f996ef2a524ed89603ade13c
    b8b4fc9efccbeddc39ee0d825ed2e3037ee85efc
    c71e5f572a659774ab0c0a52da40013709408823
        

Динамические библиотеки:

  • 2f7be7a0649288a9bb72fad0e5fb2a38031edf9b
    6c83a4a362c730066c63986369213ce05c666e35
    5fa08c5e4595040c89540ef1194d53916ba5820c
    7c5f3e935bfc1deb0460b9c9649cf75568cdbb71
    8611f08c570a1dcf42b7d2961a3757367eb650a0
    f18a4ed258540e3b0da4c3d66d144317a6f23066
        

Банковский троянец для ОС Windows, ориентированный на клиентов бразильских кредитных организаций. Написан на .NET, загрузчик реализован в виде обфусцированного сценария VBScript, который запускается на исполнение с использованием msscriptcontrol. Распространяется под видом приложения Adobe Reader.

При запуске сценарий проверяет локальные настройки Windows на наличие португальского языка ("1046"), а также ищет в окружении виртуальную машину:


   Select Case sBIOSVersion
        Case "VRTUAL - 1000831"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 Beta or RC0"
        Case "VRTUAL - 5000805", "BIOS Date: 05/05/08 20:35:56  Ver: 08.00.02"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 RTM"
        Case "VRTUAL - 3000919"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 R2"
        Case "A M I  - 2000622"
            bIsVM = true
            sVMPlatform = "VS2005R2SP1 or VPC2007"
        Case "A M I  - 9000520"
            bIsVM = true
            sVMPlatform = "VS2005R2"
        Case "A M I  - 9000816", "A M I  - 6000901"
            bIsVM = true
            sVMPlatform = "Windows Virtual PC"
        Case "A M I  - 8000314"
            bIsVM = true
            sVMPlatform = "VS2005 or VPC2004"
        End Select
    ElseIf sModel = "VMware Virtual Platform" then
        ' VMware detected
        sVMPlatform = "VMware"
        bIsVM = true
    ElseIf sModel  = "VirtualBox" then
        ' VirtualBox detected
        bIsVM = true
        sVMPlatform = "VirtualBox"
    Else
        ' This computer does not appear to be a virtual machine.
    End if

Соединившись с управляющим сервером, адрес которого в зашифрованном виде хранится в теле троянца, банкер скачивает оттуда два ZIP-архива с обфусцированными динамическими библиотеками, созданными в среде разработки Delphi. Во второй библиотеке сосредоточены основные вредоносные функции троянца.

Когда пользователи открывают в окне браузера сайты интернет-банков ряда бразильских финансовых организаций, Trojan.PWS.Banker1.28321 незаметно подменяет веб-страницу, показывая жертве поддельную форму для ввода логина и пароля, а в некоторых случаях — просит указать проверочный код авторизации из полученного от банка СМС-сообщения. Эту информацию троянец передает злоумышленникам.

Новость о троянце

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Dr.Web в Реестре Отечественного ПО

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2018

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125040, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А