Trojan.BankBot.2362

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dialersvc64

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdateTaskMachineQC] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdateTaskMachineQC] 'ImagePath' = '%ALLUSERSPROFILE%\Google\Chrome\updater.exe'

Создает следующие сервисы

'GoogleUpdateTaskMachineQC' %ALLUSERSPROFILE%\Google\Chrome\updater.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dllhost.exe
<SYSTEM32>\dialer.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\sppextcomobj.exe
<SYSTEM32>\sc.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\slui.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\wusa.exe
<SYSTEM32>\powercfg.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
updater.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль advapi32.dll
Процесс firefox.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\dllhost.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\google\chrome\updater.exe
%WINDIR%\temp\__psscriptpolicytest_of0fcj5l.es5.ps1
%WINDIR%\temp\__psscriptpolicytest_s4dim22a.xel.psm1
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-37-007.dump
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-37-323.dump
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-37-656.dump
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-37-845.dump
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-38-012.dump
%WINDIR%\temp\content\1136-3648-powershell.exe-18-39-38-090.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\__psscriptpolicytest_cbafw02w.ubx.ps1
%WINDIR%\temp\__psscriptpolicytest_et0azmzh.kj0.psm1
%WINDIR%\temp\content\840-1316-powershell.exe-18-39-40-310.dump
%WINDIR%\temp\__psscriptpolicytest_jtzyyv3r.lko.ps1
%WINDIR%\temp\__psscriptpolicytest_n1z5yq3w.i5g.psm1
%WINDIR%\temp\vgrfkhdfbxda.sys
%WINDIR%\temp\__psscriptpolicytest_pbqq5zma.2f3.ps1
%WINDIR%\temp\__psscriptpolicytest_41gfvafu.dwf.psm1
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-49-239.dump
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-49-757.dump
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-50-077.dump
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-50-136.dump
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-50-289.dump
%WINDIR%\temp\content\1736-2296-powershell.exe-18-39-50-393.dump

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_of0fcj5l.es5.ps1
%WINDIR%\temp\__psscriptpolicytest_s4dim22a.xel.psm1
%WINDIR%\temp\__psscriptpolicytest_cbafw02w.ubx.ps1
%WINDIR%\temp\__psscriptpolicytest_et0azmzh.kj0.psm1
%WINDIR%\temp\__psscriptpolicytest_jtzyyv3r.lko.ps1
%WINDIR%\temp\__psscriptpolicytest_n1z5yq3w.i5g.psm1
<SYSTEM32>\tasks\dialersvc64
%WINDIR%\temp\__psscriptpolicytest_pbqq5zma.2f3.ps1
%WINDIR%\temp\__psscriptpolicytest_41gfvafu.dwf.psm1

Изменяет файл HOSTS.

Сетевая активность

Подключается к

'xm#####.nanopool.org':10343

TCP

Другие

'xm#####.nanopool.org':10343

UDP

DNS ASK xm#####.nanopool.org
DNS ASK fi#####.###tings.services.mozilla.com
DNS ASK mo#####.map.fastly.net

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\google\chrome\updater.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "GoogleUpdateTaskMachineQC"
'<SYSTEM32>\sc.exe' create "GoogleUpdateTaskMachineQC" binpath= "%ALLUSERSPROFILE%\Google\Chrome\updater.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "GoogleUpdateTaskMachineQC"
'<SYSTEM32>\dllhost.exe' /Processid:{f07bdfcc-8253-4dfc-9cf9-11330fdbdfbc}
'<SYSTEM32>\dllhost.exe' /Processid:{f191bde9-793a-484d-9669-87db2e2f9a90}