Поведение: Backdoor, троянская программа удаленного администрирования.

Платформа: Win32

Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 93696 байт. Упакован при помощи UPX, распакованный размер – около 183 КБ.

Инсталляция

При запуске бэкдор извлекает из своего тела следующие файлы:

%System%/hl.dat – размер 45474 байт
%System%/scerpt.dll – размер 4096 байт
%System%/hmlphl.dll – размер 86016 байт
%System%/mrcmgr.exe – размер 36864 байт

предварительно извлекая их в свою рабочую папку с именами состоязщими из случайной последовательности прописных латинских букв и расширения .tmp.

Бэкдор регистрирует один из своих компонентов как Browser Helper Object, создавая при этом следующий ключ реестра:

[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]
"default" = "BhoApp Class"
[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}/InprocServer32]
"default" = "%System%/hmlphl.dll"
"ThreadingModel" = "Apartment"
[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}/ProgID]
"default" = "MSApp.BhoApp.1"
[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}/TypeLib]
"default" = "{DC8305B3-1EE7-4d58-83EF-2C5BC6C6566C}"
[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}/VersionIndependentProgID]
"default" = "MSApp.BhoApp"

Для автоматического запуска при каждом следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
"1" = "%System%/mrcmgr.exe"
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit" = "%System%/userinit.exe,%System%/mrcmgr.exe"

Деструктивная активность

Используя следующие функции системной библиотеки crypt32.dll:

CertEnumCertificatesInStore
PFXExportCertStoreEx

бэкдор экспортирует сертификаты и ключи шифрования установленные в системе пользователя в файлы с расширением .pfx в папке %Temp%:

Бэкдор запускает HTTP прокси сервер на 6666 TCP порту, а также патчит системный файл:

%System%/drivers/tcpip.sys

убирая ограничение на количество создаваемых сокетов в системе.

Бэкдор похищает параметры учетных записей Outlook, перехватывает текст вводимый пользователем в полях ввода на веб страницах в Internet Explorer, а также перехватывает ввод с клавиатуры при помощи функции SetWindowsHookEx, кроме этого бэкдор следит за URL, которые пользователь вводит в строке адреса браузера и перехватывает отправляемые в интернет данные форм на веб страницах. Также бэкдор похищает содержимое защищенного хранилища Windows. Собранные данные бэкдор сохраняет в файлах с расширением .log в папке %Temp%.

Также бэкдор поддерживает следующие команды удаленного управления:

• выполнение произвольной команды shell;
• полный удаленный доступ к жесткому диску зараженного компьютера;
• запуск/остановка процессов;
• удаление себя из системы;
• снятие скриншотов текущего окна, с которым работает пользователь и сохранение их в виде набора файлов с расширением .jpg в папке %Temp%.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить вредоносный процесс.
2. Удалить оригинальный файл бэкдора (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер), а также все файлы с расширением .tmp в его папке.
3. Удалить ключ системного реестра:

[HKCR/CLSID/{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]

4. Удалить параметр в ключе системного реестра:

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
"1" = "%System%/mrcmgr.exe"

5. Изменить значение в ключе системного реестра на следующее:

[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit" = "%System%/userinit.exe"

6. Удалить файлы:

%System%/hl.dat
%System%/scerpt.dll
%System%/hmlphl.dll
%System%/mrcmgr.exe

7. Очистить содержимое папки %Temp%.
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив