Технические детали
Руткит, который запускает вредоносный код в системе пользователя. Выполнен в виде драйвера режима ядра NT (kernel mode driver). Имеет размер 26616 байт.
Инсталляция
Копирует свой исполняемый файл как:
%System%/drivers/mrxcls.sys
Для автоматического запуска при следующем старте системы руткит создает следующий ключ реестра службы:
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/MRxCls]
"Description"="MRXCLS"
"DisplayName"="MRXCLS"
"ErrorControl"=dword:00000000
"Group"="Network"
"ImagePath"="//??//%System%/Drivers//mrxcls.sys"
"Start"=dword:00000001
"Type"=dword:00000001
Создает файл:
%System%/drivers/mrxnet.sys – 17400 байт, определяется как Rootkit.Win32.Stuxnet.b
Для автоматического запуска созданного файла при следующем старте системы руткит создает следующий ключ реестра службы:
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/MRxNet]
"Description"="MRXNET"
"DisplayName"="MRXNET"
"ErrorControl"=dword:00000000
"Group"="Network"
"ImagePath"="//??//%System%/Drivers//mrxnet.sys"
"Start"=dword:00000001
"Type"=dword:00000001
Так же создает файлы:
%windir%/inf/mdmcpq3.pnf - 4633 байт.
%windir%/inf/mdmeric3.pnf - 90 байт.
%windir%/inf/oem6c.pnf - 323848 байт.
%windir%/inf/oem7a.pnf – 498176 байт.
которые содержат код и данные руткита в зашифрованном виде.
Распространение
Руткит распространяется через сменные USB носители используя уязвимость нулевого дня CVE-2010-2568 в LNK-файлах (подробнее здесь).
Для этого вредоносный код, работающий в процессе services.exe мониторит подключение новых USB накопителей в системе и в случае обнаружения подключения создает в корневой папке накопителя следующие файлы:
~wtr4132.tmp – 513536 байт, определяется как Trojan-Dropper.Win32.Stuxnet.a
~wtr4141.tmp – 25720 байт, определяется как Trojan-Dropper.Win32.Stuxnet.b
Эти файлы являются динамическими библиотеками, которые загружаются в результате срабатывания уязвимости и инсталлируют руткита в систему. Вместе с этими файлами в корень заражаемого диска помещаются файлы ярлыков с уязвимостью:
"Copy of Shortcut to.lnk"
"Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Copy of Shortcut to.lnk"
Файлы имеют размер 4171 байт и определяются как Trojan.WinLnk.Agent.i. Уязвимость срабатывает, когда пользователь делает попытку просмотреть содержимое корня сменного носителя файловым менеджером, с включенным отображением значков файлов. После срабатывания уязвимости активируется руткит, который мгновенно скрывает вредоносные файлы.
Деструктивная активность
Руткит предназначен для внедрения вредоносного кода(inject) в процессы пользовательского режима. Руткит загружает динамическую библиотеку DLL в следующие системные процессы:
svchost.exe
services.exe
lsass.exe
после чего в их списке модулей появляются библиотеки с именами вида:
kernel32.dll.aslr.rnd
shell32.dll.aslr.rnd
где rnd – случайное шестнадцатеричное число.
Внедряемый код находится в файле:
%WinDir%/inf/oem7A.PNF
в зашифрованном виде.
Внедряемый код содержит основной функционал данной вредоносной программы.
Который включает:
- Распространение на сменных носителях.
- Мониторинг за работой системы Siemens Step7. Для этого драйвер руткита внедряет в процесс s7tgtopx.exe свою библиотеку-посредник, вместо оригинальной s7otbxsx.dll, которая эмулирует работу следующих API-функций:
s7_event
s7ag_bub_cycl_read_create
s7ag_bub_read_var
s7ag_bub_write_var
s7ag_link_in
s7ag_read_szl
s7ag_test
s7blk_delete
s7blk_findfirst
s7blk_findnext
s7blk_read
s7blk_write
s7db_close
s7db_open
s7ag_bub_read_var_seg
s7ag_bub_write_var_seg
собирая различные данные о работе системы.
- Выполнение SQL запросов. Руткит получает список компьютеров в локальной сети и проверяет запущен ли на каком-либо из них Microsoft SQL сервер, который обслуживает систему визуализации производственных процессов Siemens WinCC. Если сервер обнаружен, вредонос пытается подключиться к базе данных используя имя пользователя и пароль WinCCConnect/2WSXcder после чего пытается получить данные таблиц, таких как:
MCPTPROJECT
MCPTVARIABLEDESC
MCPVREADVARPERCON
- Собирает информацию из файлов со следующими расширениями:
*.S7P
*.MCP
*.LDF
создаваемых при помощи системы Siemens Step7. Поиск файлов ведется на всем жестком диске компьютера.
- Отправляет собранные данные в интернет на сервера злоумышленников в зашифрованном виде.
Файл руткита подписан цифровой подписью Realtek Semiconductor Corp.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл руткита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить ключи системного реестра:
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/MRxNet]
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/MRxCls]
- Удалить следующие файлы:
%System%/drivers/mrxnet.sys
%System%/drivers/mrxcls.sys
%windir%/inf/mdmcpq3.pnf
%windir%/inf/mdmeric3.pnf
%windir%/inf/oem6c.pnf
%windir%/inf/oem7a.pnf
- Перезагрузить компьютер
- Отключить отображение значков в файловом менеджере, что бы избежать повторного заражения.
- Удалить следующие файлы на сменных носителях, если такие имеются:
"Copy of Shortcut to.lnk"
"Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Copy of Shortcut to.lnk"
~wtr4132.tmp
~wtr4141.tmp
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
