Trojan.BankBot.2542

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\SystemLogon] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\SystemLogon] 'ImagePath' = '%ALLUSERSPROFILE%\System\SystemLogon.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\ehacxzhqmjly.sys'

Создает следующие сервисы

'SystemLogon' %ALLUSERSPROFILE%\System\SystemLogon.exe
'WinRing0_1_2_0' %WINDIR%\TEMP\ehacxzhqmjly.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dialer.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\sihost.exe
<SYSTEM32>\taskhostw.exe
%WINDIR%\explorer.exe
<SYSTEM32>\runtimebroker.exe
<SYSTEM32>\dllhost.exe
<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\oobe\useroobebroker.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\powercfg.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\sc.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\wusa.exe
<SYSTEM32>\wbem\wmiprvse.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
systemlogon.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль advapi32.dll
Процесс iexplore.exe, модуль advapi32.dll

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\dialer.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\systemlogon.exe
%ALLUSERSPROFILE%\system\systemlogon.exe
%WINDIR%\temp\__psscriptpolicytest_uynblvdz.cav.ps1
%WINDIR%\temp\__psscriptpolicytest_1avol1ms.yo3.psm1
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-09-260.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-09-585.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-09-708.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-09-917.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-09-959.dump
%WINDIR%\temp\__psscriptpolicytest_zh4oouav.g4d.ps1
%WINDIR%\temp\__psscriptpolicytest_k3nriltn.s1k.psm1
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-196.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-227.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-312.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-444.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-597.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-729.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-910.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-960.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-10-993.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-040.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-071.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-118.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-156.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-658.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-721.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-776.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-794.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-842.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-873.dump
%WINDIR%\temp\content\5300-3896-powershell.exe-18-24-11-946.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\ehacxzhqmjly.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_uynblvdz.cav.ps1
%WINDIR%\temp\__psscriptpolicytest_1avol1ms.yo3.psm1
%WINDIR%\temp\__psscriptpolicytest_zh4oouav.g4d.ps1
%WINDIR%\temp\__psscriptpolicytest_k3nriltn.s1k.psm1

Сетевая активность

Подключается к

'gu##.##neroocean.stream':10128

TCP

Другие

'gu##.##neroocean.stream':10128

UDP

DNS ASK gu##.##neroocean.stream

Другое

Создает и запускает на исполнение

'%APPDATA%\systemlogon.exe'
'%ALLUSERSPROFILE%\system\systemlogon.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "SystemLogon"
'<SYSTEM32>\sc.exe' create "SystemLogon" binpath= "%ALLUSERSPROFILE%\System\SystemLogon.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "SystemLogon"
'%APPDATA%\systemlogon.exe' (со скрытым окном)