Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Управляется через IRC. Является приложением Windows (PE-EXE файл). Имеет размер 131072 байт. Написана на VB.

Инсталляция

После запуска бэкдор выполняет следующие действия:

• Копирует себя по пути:

%System%/drivers/BSyBT.exe

• Для автоматического запуска созданной копии при каждом следующем старте системы бэкдор создает следующий ключ системного реестра:

[HKLM/Software/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
“Microsoft Driver Setup” = %System%/drivers/BSyBT.exe
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
“Microsoft Driver Setup” = %System%/drivers/BSyBT.exe

• Добавляет свой исполняемый файл в список исключений в Windows XP Firewall:

[HKLM/System/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/AuthorizedApplications/List]
"путь к оригинальному файлу троянца" = "путь к оригинальному файлу троянца:*:C:/WINDOWS/system32/drivers/BSyBT.exe

Распространение

Бэкдор копирует свое тело на все доступные для съемные диски под именем:

RECYCLER/S-51-9-25-3434476501-1644491933-601013360-1214/BSyBT.exe

Вместе со своим исполняемым файлом бэкдор помещает файл:

имя зараженного раздела:/autorun.inf

что позволяет ему запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Деструктивная активность

Программа соединяется с серверами IRC:

java.kutlufamily.com
java.baldmanpower.com
java.baldmanpower.net
java.baldmanpower.org

и получает команды удалённого управления от «хозяина». Спектр доступных команд очень разнообразен и позволяет осуществлять полный контроль над системой, а также осуществлять атаки на другие компьютеры и заражать их, скачивать файлы и т.д.

Помимо этого бэкдор обладает следующей функциональностью:

• сканирование сети в поисках машин, подверженных некоторым популярным уязвимостям (NTLM, RPCSS (MS03-039), SMB и др.) или открытыми сетевыми ресурсами;
• копирование и запуск себя на уязвимых машинах;
• загрузка и запуск на зараженном компьютере различных файлов;
• остановка процессов различных антивирусных программ и отладчиков;
• отсылка злоумышленнику подробной информации о зараженной системе, в том числе пароли и другую секретную информацию;
• выполнение на зараженном компьютере различных команд;

и другое.

Рекомендации по удалению

Перезагрузить компьютер в "безопасном режиме" (в самом начале загрузки компьютера нажмите и удерживайте F8, а затем выберите пункт Safe Mode в меню загрузки Windows).

1. Удалить следующий файл из корневого каталога Windows:

%System%/drivers/BSyBT.exe

2. Удалить ключ реестра:

[HKLM/Software/Microsoft/Windows/CurrentVersion/policies/Explorer/Run]
“Microsoft Driver Setup”
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
“Microsoft Driver Setup”

3. Изменить следующие записи системного реестра на первоначальные:

[HKLM/System/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/AuthorizedApplications/List]

4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив