Trojan.BankBot.2318

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dialersvc64

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ELHUDULO] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ELHUDULO] 'ImagePath' = '%ALLUSERSPROFILE%\devlbyteeqnx\jasscttgnjrp.exe'

Создает следующие сервисы

'ELHUDULO' %ALLUSERSPROFILE%\devlbyteeqnx\jasscttgnjrp.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dllhost.exe
<SYSTEM32>\dialer.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\sppextcomobj.exe
<SYSTEM32>\slui.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\wusa.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль advapi32.dll
Процесс firefox.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\dllhost.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\devlbyteeqnx\jasscttgnjrp.exe
%WINDIR%\temp\__psscriptpolicytest_zqmvw2yf.nl0.ps1
%WINDIR%\temp\__psscriptpolicytest_3iwcwbod.rqa.psm1
%WINDIR%\temp\__psscriptpolicytest_xo5abcpj.2ie.ps1
%WINDIR%\temp\__psscriptpolicytest_c1drtcgh.krg.psm1
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-16-969.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-17-205.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-17-362.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-17-835.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-18-156.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-156.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-233.dump
%WINDIR%\temp\__psscriptpolicytest_kav11cjz.dhk.ps1
%WINDIR%\temp\__psscriptpolicytest_3skbkgd0.xlr.psm1
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-519.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-18-519.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-621.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-18-694.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-739.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-18-909.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-18-953.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-130.dump
%WINDIR%\temp\content\1328-5096-powershell.exe-16-34-19-147.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-306.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-500.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-616.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-705.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-764.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-820.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-894.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-19-949.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-21-960.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-22-594.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-22-681.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-22-692.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-22-780.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-22-860.dump
%WINDIR%\temp\content\4436-2988-powershell.exe-16-34-23-097.dump
%WINDIR%\temp\jzdfktcsrmwl.sys
%WINDIR%\temp\__psscriptpolicytest_ztjuxslq.ivk.ps1
%WINDIR%\temp\__psscriptpolicytest_q4gt5lld.jrf.psm1
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-30-574.dump
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-31-074.dump
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-31-434.dump
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-31-563.dump
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-31-808.dump
%WINDIR%\temp\content\1464-4992-powershell.exe-16-34-31-969.dump

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_zqmvw2yf.nl0.ps1
%WINDIR%\temp\__psscriptpolicytest_3iwcwbod.rqa.psm1
%WINDIR%\temp\__psscriptpolicytest_xo5abcpj.2ie.ps1
%WINDIR%\temp\__psscriptpolicytest_c1drtcgh.krg.psm1
%WINDIR%\temp\__psscriptpolicytest_kav11cjz.dhk.ps1
%WINDIR%\temp\__psscriptpolicytest_3skbkgd0.xlr.psm1
<SYSTEM32>\tasks\dialersvc64
%WINDIR%\temp\__psscriptpolicytest_ztjuxslq.ivk.ps1
%WINDIR%\temp\__psscriptpolicytest_q4gt5lld.jrf.psm1

Сетевая активность

UDP

DNS ASK po##.#upportxmr.com
DNS ASK pa###bin.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\devlbyteeqnx\jasscttgnjrp.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "ELHUDULO"
'<SYSTEM32>\sc.exe' create "ELHUDULO" binpath= "%ALLUSERSPROFILE%\devlbyteeqnx\jasscttgnjrp.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "ELHUDULO"
'<SYSTEM32>\dllhost.exe' /Processid:{932ba564-8558-46ae-9530-648d7d262975}
'<SYSTEM32>\dllhost.exe' /Processid:{875e7bd4-7aeb-4e79-8d42-97e438e020fc}