Trojan.BankBot.2213

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\WindowsAutHost] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\WindowsAutHost] 'ImagePath' = '%ALLUSERSPROFILE%\WindowsServices\WindowsAutHost'
[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\jrynjxsgdgzh.sys'

Создает следующие сервисы

'WindowsAutHost' %ALLUSERSPROFILE%\WindowsServices\WindowsAutHost
'WinRing0_1_2_0' %WINDIR%\TEMP\jrynjxsgdgzh.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dialer.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\dllhost.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\powercfg.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\sc.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\wusa.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
windowsauthost

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль advapi32.dll
Процесс firefox.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\dialer.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\windowsservices\windowsauthost
%WINDIR%\temp\__psscriptpolicytest_xg0xfeti.iug.ps1
%WINDIR%\temp\__psscriptpolicytest_yz2lpcrk.muv.psm1
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-173.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-374.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-459.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-589.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-620.dump
%WINDIR%\temp\__psscriptpolicytest_40jwarxq.x2g.ps1
%WINDIR%\temp\__psscriptpolicytest_iaki2wtp.lmi.psm1
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-805.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-836.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-890.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-18-974.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-106.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-191.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-291.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-323.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-338.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-376.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-423.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-439.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-461.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-762.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-809.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-824.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-840.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-862.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-878.dump
%WINDIR%\temp\content\4812-5140-powershell.exe-07-32-19-925.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\jrynjxsgdgzh.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_xg0xfeti.iug.ps1
%WINDIR%\temp\__psscriptpolicytest_yz2lpcrk.muv.psm1
%WINDIR%\temp\__psscriptpolicytest_40jwarxq.x2g.ps1
%WINDIR%\temp\__psscriptpolicytest_iaki2wtp.lmi.psm1

Изменяет файл HOSTS.

Сетевая активность

Подключается к

'po##.#ashvault.pro':80
'pa###slk.pro':80
'62.##.246.210':443

TCP

Запросы HTTP POST

Другие

'po##.#ashvault.pro':80
'62.##.246.210':443

UDP

DNS ASK po##.#ashvault.pro
DNS ASK pa###slk.pro

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\windowsservices\windowsauthost'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "WindowsAutHost"
'<SYSTEM32>\sc.exe' create "WindowsAutHost" binpath= "%ALLUSERSPROFILE%\WindowsServices\WindowsAutHost" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "WindowsAutHost"