Trojan.BankBot.340

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\kdaarKyDeW] 'ImagePath' = '<DRIVERS>\XGOOS8D6xft.sys'
[HKLM\System\CurrentControlSet\Services\XeUsDyMitw] 'ImagePath' = '<DRIVERS>\TBVmdwpaNM.hpq'
[HKLM\System\CurrentControlSet\Services\csb4VOKIswg] 'ImagePath' = '<SYSTEM32>\eXHwgFVSUvccQK.sys'
[HKLM\System\CurrentControlSet\Services\M3A799Jyckt9y] 'ImagePath' = '<SYSTEM32>\C5AZv31e3JEaFV.bdw'
[HKLM\System\CurrentControlSet\Services\YDV5HJ38lLA] 'ImagePath' = '%WINDIR%\dsIieZFGbl.sys'
[HKLM\System\CurrentControlSet\Services\hrEa1nZl3kP] 'ImagePath' = '<DRIVERS>\tVTm8v2a2fFb0O.sys'
[HKLM\System\CurrentControlSet\Services\vSl6xsRV7] 'ImagePath' = '<DRIVERS>\tw2xkIikQ.sys'
[HKLM\System\CurrentControlSet\Services\YvPzsyik2dzwZ] 'ImagePath' = '<DRIVERS>\dKLwuZtbNON.sys'

Создает следующие сервисы

'kdaarKyDeW' <DRIVERS>\XGOOS8D6xft.sys
'XeUsDyMitw' <DRIVERS>\TBVmdwpaNM.hpq
'csb4VOKIswg' <SYSTEM32>\eXHwgFVSUvccQK.sys
'M3A799Jyckt9y' <SYSTEM32>\C5AZv31e3JEaFV.bdw
'YDV5HJ38lLA' %WINDIR%\dsIieZFGbl.sys
'hrEa1nZl3kP' <DRIVERS>\tVTm8v2a2fFb0O.sys
'vSl6xsRV7' <DRIVERS>\tw2xkIikQ.sys
'YvPzsyik2dzwZ' <DRIVERS>\dKLwuZtbNON.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль wininet.dll
Процесс firefox.exe, модуль mswsock.dll

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\drivers\xgoos8d6xft.sys
%WINDIR%\syswow64\drivers\tbvmdwpanm.hpq
%WINDIR%\syswow64\exhwgfvsuvccqk.sys
%WINDIR%\syswow64\c5azv31e3jeafv.bdw
%WINDIR%\dsiiezfgbl.sys
%WINDIR%\logs\wpnpinst.exe
<DRIVERS>\tvtm8v2a2ffb0o.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\a0uy29.cat
<DRIVERS>\tw2xkiikq.sys
<DRIVERS>\dklwuztbnon.sys

Удаляет следующие файлы

%WINDIR%\syswow64\drivers\xgoos8d6xft.sys
%WINDIR%\syswow64\drivers\tbvmdwpanm.hpq
%WINDIR%\syswow64\exhwgfvsuvccqk.sys
%WINDIR%\syswow64\c5azv31e3jeafv.bdw

Самоудаляется.

Сетевая активность

Подключается к

'dn#.#lidns.com':443
'dn#.#lidns.com':80
'xc#.#cslw.top':80
'xc#.#ycsl.top':80
'ap##.#ame.qq.com':80
'sp#.#aidu.com':80
'xc#.#cslw.top':443

TCP

Запросы HTTP GET

http://dn#.#lidns.com/resolve?na#######################
http://xc#.#cslw.top/cfg/cmc/b2.txt
http://xc#.#cslw.top/cfg/cmc/qzpass.txt
http://xc#.#cslw.top/cfg/cmc/slfdm.txt
http://xc#.#cslw.top/cfg/cmc/ppmldb
http://nr#.#cslw.top/report/report_data?da#######################################################################################################################################################...
http://xc#.#cslw.top/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
http://xc#.#cslw.top/pgm/mds/865609897d54b79b/2cc3b5fea2ff6d3e83136443a846e0673d9dae844e2e4ecf64.zip
http://xc#.#cslw.top/pgm/mds/186dc678628340ee/219c906140f2c06be2e3db6296e78091a34c8da1c928895b64.zip
http://xc#.#cslw.top/pgm/mds/62761afc2f0d796a/a4fa2c8d00fc0abae2e3db6296e78091112c7b6cfbdbf26a64.zip
http://xc#.#cslw.top/pgm/mds/05631e93ccdb00ee/1d3049b187ce606623cd71ca2f04529ace43d0e0c871205264.zip
http://xc#.#cslw.top/pgm/mds/b3abb02528414f5a/6188d79c9fc7cdae7c70c674799b20d564.zip
http://xc#.#cslw.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
http://xc#.#cslw.top/cfg/pub/ms.json
http://xc#.#cslw.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
http://xc#.#cslw.top/cfg/cmc/blacklist.txt
http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
http://xc#.#cslw.top/cfg/cmc/userpq.zip
http://xc#.#cslw.top/cfg/cmc/userchange.txt
http://xc#.#cslw.top/cfg/cmc/ping.txt
http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#cslw.top/cfg/pub/ps.json
http://xc#.#cslw.top/cfg/cmc/ggtbd.txt

Другие

'dn#.#lidns.com':443
'xc#.#ycsl.top':443

UDP

DNS ASK xc#.#ycsl.top
DNS ASK dn#.#lidns.com
DNS ASK xc#.#cslw.top
DNS ASK ap##.#ame.qq.com
DNS ASK sp#.#aidu.com
'23#.#23.112.211':51701
'23#.2.2.2':18804

Другое

Создает и запускает на исполнение

'%WINDIR%\logs\wpnpinst.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\logs\wpnpinst.exe"
'%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>" (со скрытым окном)
'%WINDIR%\syswow64\timeout.exe' /t 1