SHA1 3cbfa9b48674d7fa4ad0d77d99ae461dc2827b23 (packed)
c8c73bd844d7de3171cd6b8996a224393b941b9c (unpacked)
Троянец для заражения POS-терминалов, является сокращенной версией вредоносной программы BackDoor.Neutrino.50. При установке модифицирует ветвь системного реестра:
[\REGISTRY\USER\S-1-5-21-1229272821-842925246-1060284298-
1003\Software\Microsoft\Windows\CurrentVersion\Run] 'hh.exe' = '%APPDATA%
\WFFiUVxUQFJVYg==\hh.exe'В его архитектуре предусмотрен модуль, сканирующий оперативную память инфицированного устройства на наличие в ней треков банковских карт. Обнаруженные треки и другие перехваченные данные троянец передает на управляющий сервер.
Умеет перехватывать GET- и POST-запросы, отправляемые с зараженной машины браузерами Mozilla Firefox, Google Chrome или Microsoft Internet Explorer, – эти запросы троянец дублирует на принадлежащий злоумышленникам управляющий сервер. Кроме того, данная вредоносная программа может выполнять следующие команды:
- CMD – передает поступившую директиву командному интерпретатору CMD;
- LOADER - скачивает и запускает файл (dll – c использованием утилиты regsrv, vbs – c использованием утилиты wscript, exe — осуществляется непосредственный запуск);
- UPDATE – команда обновления;
- rate – задает временной интервал сеансов связи с управляющим сервером;
- FIND - поиск документов по маске;
- DDOS – начать DDoS-атаку методом http-flood.
Обмен данными с управляющим центром троянец осуществляет по протоколу HTTP, сервер отвечает ошибкой 404 со следующим контентом:
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<HTML><HEAD><TITLE>404 Not Found</TITLE></HEAD><BODY><H1>Not Found</H1>
The requested URL /css/tasks.php was not found on this server.</BODY></HTML>
<!-- DEBUGc3VjY2Vzcw==ENDOF -->Данные между тегами DEBUG и ENDOF представляют собой сообщение, зашифрованное с использованием алгоритма base64.
Пакеты, которые троянец отсылает на удаленный сервер, не шифруются, однако вредоносная программа использует в них специальный параметр cookie, при отсутствии которого командный сервер игнорирует поступающие от троянца запросы.
Похищенные треки банковских карт троянец передает с помощью запроса:
d=1&id=%ls&name=%ls&type=%ls&data=%S&p=%lstype - Track1 или Track2;
data - данные трека;
p - имя процесса.
