Trojan.BankBot.2418

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dialersvc64

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\OGLWNWUI] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\OGLWNWUI] 'ImagePath' = '%ALLUSERSPROFILE%\rasnaebnnzdh\ywsmbklbxkln.exe'

Создает следующие сервисы

'OGLWNWUI' %ALLUSERSPROFILE%\rasnaebnnzdh\ywsmbklbxkln.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dllhost.exe
<SYSTEM32>\dialer.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\sppextcomobj.exe
<SYSTEM32>\slui.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль advapi32.dll
Процесс firefox.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\dllhost.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\rasnaebnnzdh\ywsmbklbxkln.exe
%WINDIR%\temp\__psscriptpolicytest_r2qaa4ir.aih.ps1
%WINDIR%\temp\__psscriptpolicytest_g4mhbbeg.ffr.psm1
%WINDIR%\temp\__psscriptpolicytest_rbwfknus.ofg.ps1
%WINDIR%\temp\__psscriptpolicytest_dsug0w40.i02.psm1
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-37-942.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-38-195.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-273.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-406.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-624.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-38-677.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-688.dump
%WINDIR%\temp\__psscriptpolicytest_1x5vpyrq.c0d.ps1
%WINDIR%\temp\__psscriptpolicytest_5gsjjlcy.gki.psm1
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-929.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-38-967.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-38-999.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-39-046.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-39-083.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-39-295.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-39-520.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-39-605.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-41-751.dump
%WINDIR%\temp\content\6004-6136-powershell.exe-12-39-41-861.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-035.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-089.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-133.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-175.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-218.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-260.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-303.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-42-924.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-035.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-156.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-201.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-295.dump
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-356.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\content\6116-5808-powershell.exe-12-39-43-433.dump
%WINDIR%\temp\cciqcanloesi.sys
%WINDIR%\temp\__psscriptpolicytest_0tc5pbqb.pns.ps1
%WINDIR%\temp\__psscriptpolicytest_qptkbqcd.ar2.psm1
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-119.dump
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-431.dump
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-685.dump
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-746.dump
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-885.dump
%WINDIR%\temp\content\4888-5384-powershell.exe-12-39-48-979.dump

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_r2qaa4ir.aih.ps1
%WINDIR%\temp\__psscriptpolicytest_g4mhbbeg.ffr.psm1
%WINDIR%\temp\__psscriptpolicytest_rbwfknus.ofg.ps1
%WINDIR%\temp\__psscriptpolicytest_dsug0w40.i02.psm1
%WINDIR%\temp\__psscriptpolicytest_1x5vpyrq.c0d.ps1
%WINDIR%\temp\__psscriptpolicytest_5gsjjlcy.gki.psm1
<SYSTEM32>\tasks\dialersvc64
%WINDIR%\temp\__psscriptpolicytest_0tc5pbqb.pns.ps1
%WINDIR%\temp\__psscriptpolicytest_qptkbqcd.ar2.psm1

Сетевая активность

UDP

DNS ASK po##.#upportxmr.com
DNS ASK pa###bin.com
DNS ASK fi#####.###tings.services.mozilla.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\rasnaebnnzdh\ywsmbklbxkln.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "OGLWNWUI"
'<SYSTEM32>\sc.exe' create "OGLWNWUI" binpath= "%ALLUSERSPROFILE%\rasnaebnnzdh\ywsmbklbxkln.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "OGLWNWUI"
'<SYSTEM32>\dllhost.exe' /Processid:{bce129d1-ca04-42df-b69b-e55968b097e0}
'<SYSTEM32>\dllhost.exe' /Processid:{31cffd19-45df-4757-8bbd-3b677bbc2202}