Trojan.BankBot.687

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\5Ru2whDrq5] 'ImagePath' = '<DRIVERS>\D3TD2kXoMj9I.sys'
[HKLM\System\CurrentControlSet\Services\1jctYj0avIl] 'ImagePath' = '<DRIVERS>\biiTBfLtKc.pxp'
[HKLM\System\CurrentControlSet\Services\MORuPyGXK70cp] 'ImagePath' = '<SYSTEM32>\LZAHmAkiQpR7q7.sys'
[HKLM\System\CurrentControlSet\Services\wSHd8kxf9HPm] 'ImagePath' = '<SYSTEM32>\dPK2LDlIYfs0.gaz'
[HKLM\System\CurrentControlSet\Services\mBqhtXXgJT] 'ImagePath' = '%WINDIR%\55Z2Ou3Lh6.sys'
[HKLM\System\CurrentControlSet\Services\96XluEk] 'ImagePath' = '<DRIVERS>\I4mR2OQP.sys'
[HKLM\System\CurrentControlSet\Services\1WoHkqXDoJiyX] 'ImagePath' = '<DRIVERS>\nHz0NASIC07NKD.sys'

Создает следующие сервисы

'5Ru2whDrq5' <DRIVERS>\D3TD2kXoMj9I.sys
'1jctYj0avIl' <DRIVERS>\biiTBfLtKc.pxp
'MORuPyGXK70cp' <SYSTEM32>\LZAHmAkiQpR7q7.sys
'wSHd8kxf9HPm' <SYSTEM32>\dPK2LDlIYfs0.gaz
'mBqhtXXgJT' %WINDIR%\55Z2Ou3Lh6.sys
'96XluEk' <DRIVERS>\I4mR2OQP.sys
'1WoHkqXDoJiyX' <DRIVERS>\nHz0NASIC07NKD.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe
<SYSTEM32>\wbem\wmiprvse.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\drivers\d3td2kxomj9i.sys
%WINDIR%\syswow64\drivers\biitbfltkc.pxp
%WINDIR%\syswow64\lzahmakiqpr7q7.sys
%WINDIR%\syswow64\dpk2ldliyfs0.gaz
%WINDIR%\55z2ou3lh6.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\omeab9.cat
<DRIVERS>\i4mr2oqp.sys
<DRIVERS>\nhz0nasic07nkd.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\27885f.cat

Удаляет следующие файлы

%WINDIR%\syswow64\drivers\d3td2kxomj9i.sys
%WINDIR%\syswow64\drivers\biitbfltkc.pxp
%WINDIR%\syswow64\lzahmakiqpr7q7.sys
%WINDIR%\syswow64\dpk2ldliyfs0.gaz
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\27885f.cat

Сетевая активность

Подключается к

'dn#.#lidns.com':443
'dn#.#lidns.com':80
'xc#.#ycsl.top':80
'ap##.#ame.qq.com':80
'sp#.#aidu.com':80

TCP

Запросы HTTP GET

http://dn#.#lidns.com/resolve?na#######################
http://xc#.#ycsl.top/cfg/cmc/qzpass.txt
http://xc#.#ycsl.top/cfg/cmc/slfdm.txt
http://xc#.#ycsl.top/pgm/mds/71600c65a728333a/c57d344613ba8549426e5dbea86f249c6c935a8eac4509a264.zip
http://xc#.#ycsl.top/pgm/mds/a78ecda18e438473/49e1ec46b8e1374f99cc864009781c3d56877b12ce5518a964.zip
http://xc#.#ycsl.top/pgm/mds/186dc678628340ee/219c906140f2c06be2e3db6296e78091a34c8da1c928895b64.zip
http://xc#.#ycsl.top/pgm/mds/865609897d54b79b/2941c6fd79a2ce56956a762d12611c165dead495d4d0833864.zip
http://xc#.#ycsl.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
http://xc#.#ycsl.top/pgm/mds/62761afc2f0d796a/a4fa2c8d00fc0abae2e3db6296e78091112c7b6cfbdbf26a64.zip
http://xc#.#ycsl.top/pgm/mds/05631e93ccdb00ee/30c2c1ba061aa1805583c96f94acf334048555a056dddbc064.zip
http://xc#.#ycsl.top/cfg/pub/ps.json
http://xc#.#ycsl.top/cfg/cmc/ppmldb
http://xc#.#ycsl.top/cfg/pub/ms.json
http://xc#.#ycsl.top/cfg/cmc/blacklist.txt
http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu###############################################################
http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
http://xc#.#ycsl.top/cfg/cmc/userpq.zip
http://xc#.#ycsl.top/cfg/cmc/userchange.txt
http://xc#.#ycsl.top/cfg/cmc/ping.txt
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#cslw.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#ycsl.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
http://xc#.#ycsl.top/cfg/cmc/b2.txt

Другие

'dn#.#lidns.com':443

UDP

DNS ASK xc#.#ycsl.top
DNS ASK dn#.#lidns.com
DNS ASK xc#.#cslw.top
DNS ASK ap##.#ame.qq.com
DNS ASK sp#.#aidu.com
'23#.#23.112.211':51701
'23#.2.2.2':18804

Другое

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
'<SYSTEM32>\wbem\wmiprvse.exe'