Trojan-Downloader.Win32.Agent.belq

Имя файла: file.exe
Размер: 9,98 Кб
Time/Date Stamp (GMT): 21 января 2009 г. 10:19:48
http://www.virustotal.com/ru/analisis/2a545fef44918ac8f0d982dd25d478e8
Программа обильно разбавлена мусорным кодом. В начале инициализируется импорт предварительно расшифрованными (xor) строками. Далее расшифровывается основная часть программы, выполненная в виде отдельной библиотеки, копируется в специально выделенный участок памяти, производится инициализация и запускается на выполнение.
Размер: ~16 Кб
Time/Date Stamp (GMT): 14 декабря 2008 г. 21:56:31
http://www.virustotal.com/ru/analisis/2f3628dab95e4aa13a6797cdd8506ec3
После инициализации импорта проверяется наличие в системе сервиса ndis_ver2, в случаи, если сервис найден, файл самоудаляется. Отключается встроенный фаервол Windows. Копирует себя в USERPROFILE каталог, делает файл скрытым, ставит себя в автозагрузку в реестре “Software\Microsoft\Windows\CurrentVersion\Run”. Перебирает все процессы в системе и делает инжект своего кода. На основе уникальных данных машины (в том числе и S.M.A.R.T.), составляется идентификационная строка для данного компьютера. Далее бот передает эту строку на один из своих командных центров, программой предусмотрено наличие множества C&C, которые перебираются на доступность один раз в 20 секунд, кроме того адреса хранятся не в виде строк, а в числовом виде. В данном экземпляре предусмотрено два адреса: 69.147.239.106 и 94.103.4.217.Далее бот скачивает с командного центра файл и либо сохраняет его на диск в папку TEMP под именем (первые две буквы BN затем цифры) и запускает на исполнение, либо создает зомби процесс svchost.exe копирует в память скаченный файл и запускает.
2009, GMax
e_gmax@mail.ru

Trojan-Spy.Win32.Zbot

Имя файла: ntos.exe
Размер: 217 Кб
http://www.virustotal.com/ru/analisis/f1623f018c7827fe11eca39e0477275a
Размер файла искусственно увеличен ненужным мусором, истинный размер 41 Кб.
С начала расшифровывается (xor 52h) небольшой кусочек кода, далее еще один (xor 7Ah), затем еще один цикл расшифровки. Далее три зашифрованные секции поочередно расшифровывается с копированием содержимого в другие секции. После вот таких “хитроумных” манипуляций мы попадаем на OEP. Как и утверждают, большинство AV программа оказалась трояном Zeus, функции которой давно описаны, а билдер и админка легко доступны в сети. Ключевые действия это инжект в winlogon.exe, перехват трафика, подмена выбранных сайтов, кража паролей, умеет делать скриншоты, крадет сертификаты и еще кое-что по мелочи. Данный билд был настроен на адрес: http://hopana.info/web/cfg.binИнтересно, что билдер (Control Panel) производит не совсем стандартные действия: поиск бота в системе, предоставляет информацию о версии трояна и самое интересно производит деинсталляцию.2009, GMax
e_gmax@mail.ru

Trojan-Downloader.Win32.Agent.apoa

Имя файла: nvsyst32.exe
Размер: 3,22 Кб
http://www.virustotal.com/ru/analisis/e00e1131bbac6845be88b917ce04e6ab
Файл упакован WinUpack. При старте проверяет командную строку, если нет команды START, то перезапускает себя с этой командой. Далее находит адреса функций IcmpSendEcho и IcmpCreateFile. После этого ставит себя в автозагрузку. Затем определяет доступен ли Интернет, по адресам www.google.com, www.microsoft.com, www.yahoo.com. Если хоть один из них доступен, расшифровывает с помощью побайтового xor адреса своих командных центров:
http://goffhouseinn.com/tmp/.images/data.php,
http://sexygaby.com/cache/.images/data.php,
http://nimbarka.com/tmp/.images/data.php
Командный центр отвечает по одному из 4 заложенных в программу сценариев. Три первых это DDOS какого-либо сайта, в первом случаи просто запрос по TCP c валидными параметрами, во втором это UDP запрос, в третьем это ping (ICMP запрос). Четвертый вариант задания это скачивание и запуск программы.
2008, GMax
e_gmax@mail.ru

Trojan.MulDrop

Имя файла: update.exe
Размер: 91 Кб
Time/Date Stamp (GMT): 25 декабря 2008 г. 20:52:13
http://www.virustotal.com/ru/analisis/0e01b13d625121736f629f2191b07446
Первый слой представляет собой просто расшифровку основного тела программы с помощью пайпа (Pipe). Для получения нужных API функций используется оригинальный метод расшифровки строк (побуквенное копирование в локальный буфер с последующей расшифровкой, при таком подходе строки не хранятся в секции данных).Хоть расшифрованная часть программы и является самостоятельным exe файлом (размером 82,5 Кб), файл не сохранятся на диск с последующим запуском, а настраивается и запускается самой программой установщиком.
http://www.virustotal.com/ru/analisis/1d10486223a29f2b635907ea8a8a7f3a
При дальнейшем рассмотрении оказалось, что расшифрованная программа представляет собой обертку для установки еще двух программ (0.EXE, 1.EXE), которые хранятся в ресурсах программы. Обе копируются в директорию TEMP и запускаются на выполнение. Хотя нечего более программа не делает, в коде полно стандартных библиотечных функций Delphi, которые не используются.
Имя файла: 0.EXE
Размер: 43,5 Кб
Time/Date Stamp (GMT): 25 декабря 2008 г. 19:07:49
http://www.virustotal.com/ru/analisis/3e3c8aa4f52f4ee6cd06e16301ff9b28
Здесь применятся тот же “криптор”, что и в основной программе (расшифровка строк, инициализация импорта, расшифровка с помощью пайпов, запуск из памяти).
Размер: 36,9 Кб
Time/Date Stamp (GMT): 25 декабря 2008 г. 19:06:11
http://www.virustotal.com/ru/analisis/5ec71ddbf47b3e00166f824a7618a788Вначале расшифровываются имена функций и необходимые строки, затем находятся адреса API функций. С помощью bat файлов отключается встроенный брандмауэр Windows. Программа записывается в автозагрузку (“Software\Microsoft\Windows\CurrentVersion\run”), разрешает себе доступ в Интернет и каждые 5 секунд повторяет эти действия. В целом это Trojan.Spambot версии v508. Далее из секции данных расшифровывается очередная часть трояна, на этот раз это DLL. Библиотека загружается в память и вызывается экспортируемая функция load.
Размер расшифрованной библиотеки: 25,5 Кб.
Time/Date Stamp (GMT): 9 октября 2006 г. 21:32:06
http://www.virustotal.com/ru/analisis/5179d521778c3f776476634a038879d4
Библиотека полностью идентична той что была в Trojan.Spambot, включая адрес откуда берется спам 66.232.109.178.
Имя файла: 1.EXE
Размер: 24,5 Кб
Time/Date Stamp (GMT): 8 сентября 2008 г. 17:03:35
http://www.virustotal.com/ru/analisis/4681e13e0223e093e5be3f2d7050bc85
Файл сжат UPX. Размер после распаковки ~80 Кб. Код очень богат разнообразными экзотическими инструкциями. Первым делом инициализируется импорт. Затем запускается процесс svchost.exe в остановленном состоянии, копирует туда себя, меняет контекст процесса, и запускает. C&C на сайте tailormadeservers.com
2008, GMax
e_gmax@mail.ru

Trojan.Win32.Inject.low

Имя файла: load.exe
Размер: 17 Кб
http://www.virustotal.com/ru/analisis/f0d657b9d5700bee01aa9744b46ddd16
В файле практически нет строк в открытом виде, что необходимо для работы троян держит в зашифрованном виде. При необходимости расшифровывает нужные строки, использует, и зашифровывает обратно. Шифрование ведется с помощью не хитрой формулы: a[i]=(a[i]^(2*(i+1)))^7. Имена функций также не хранятся в открытом виде, используется хеш от имени. Программа записывает себя в автозапуск через ключ реестра: “SYSTEM\CurrentControlSet\Control\SecurityProviders” под именем digeste.dll.
Программа использует в качестве мютекса строку BYPPROCNET, которая также хранится в зашифрованном виде. Далее троян запускает зомби процесс svchost.exe и копирует в него файл, который содержится в секции данных в зашифрованном виде.
Размер: 9 Кб
Time/Date Stamp (GMT): 17 декабря 2008 г. 21:18:10
http://www.virustotal.com/ru/analisis/afd200551216d0f3401d8225289654a1
Сразу на точке входа троян инициализирует свой импорт, находит адреса нужных функций с помощью LoadLibrary и GetProcAddress. Причем имена функций не скрыты, а просто находятся в секции данных в открытом виде. Далее троян расшифровывает строки, которые содержат IP адрес сайта управляющего ботнетом 91.211.64.191. Бот скачивает и сайта файлы и запускает их на выполнение. Файлы могут быть запущенны под прикрытием процесса svchost.exe.2008, GMax
e_gmax@mail.ru

Trojan.Spambot (spm v602)

Имя файла: update.exe
Размер: 39 Кб
Time/Date Stamp (GMT): 27 сентября 2008 г. 9:27:47
Trojan.Win32.Pakes.ldv
http://www.virustotal.com/ru/analisis/b15abee393409dfa14cd4eedff45072a
Первым делом программа проверяет, не запущенна ли она под виртуальной машиной. Первый слой трояна расшифровывает основное тело, применен оригинальный метод пересылки данный через пайп (Pipe).
Размер расшифрованного файла 33,5 Кб.
Time/Date Stamp (GMT): 22 июля 2008 г. 13:06:12
http://www.virustotal.com/ru/analisis/cb7239534bfd03b72407cedfd53bab94
Сначала троян по не хитрому алгоритму расшифровывает текстовые строки. Строки представляют собой имена функций (в основном для работы с реестром) и команды для отключения встроенного в windows фаервола. Затем программа останавливает сервисы wscsvc и sharedaccess, отключает встроенный брандмауэр и блокирует его старт при следующей загрузке системы. Кроме того, троян создает поток, который периодически повторяет отключение брандмауэра и ставит программу в автозагрузку. Следом за этим программа расшифровывает из своего тела непосредственно функциональную часть, которая является библиотекой, грузит ее в память и вызывает функцию под названием load.Размер расшифрованной библиотеки: 25,5 Кб.
Time/Date Stamp (GMT): 9 октября 2006 г. 21:32:06
http://www.virustotal.com/ru/analisis/5179d521778c3f776476634a038879d4
При инициализации библиотека расшифровывает IP адрес 66.232.109.178.Троян скачивает файл, парсит его, извлекая из тегов {info}…{/info}, {emails}…{/emails}, {text}…{/text} информацию, удаляет полученный файл. Затем из этой информации формируется письмо и оправляется по заданному адресу, а на сайт уходит подтверждение в виде рапорта.
2008, GMax
e_gmax@mail.ru

Trojan-Mailfinder.Win32.Agent.ux

Имя файла: adyyj.exe
Размер: 8 Кб
Time/Date Stamp (GMT): 8 октября 2008 г. 20:35:20
http://www.virustotal.com/ru/analisis/0793102ec8ab8b404a959ba6cb93b454
Файл запакован UPX. При рассмотрении распакованного трояна видно, что он является модифицированной версией трояна “Trojan.Win32.Agent.afjd”. Это видно, например по мютексу “S_SERV_v0.66_Beta_erf”.В отличие от предыдущей версии тут изменился сайт: http://72.232.11.26/i.php (хостинг layeredtech.com).
Кроме того, автор доделал работу программу с серверами электронной почты.
Интересен способ, спрятать Интернет адреса в числовом виде, а затем программно переводить в строку (89.149.227.194 и 195.24.77.224).
2008, GMax
e_gmax@mail.ru