Email-Worm.Win32.Joleee.asq

Имя файла: load.exe
Размер: 26.00 Kb
Date/Time Stamp(GMT): 26.08.2006 7:01
http://www.virustotal.com/ru/analisis/655e64c9c824c309efeb7a3380967423
http://www.threatexpert.com/report.aspx?md5=ee3e3d66e4c3c7f0b56fe9fac060642f
Одна из первых версий популярного спам бота. Файл обернут слоем криптора/протектора. После расшифровки инициализируются необходимые для работы функции. Далее запускается поток, который устанавливает файл в автозагрузку каждые 5 секунд. Далее запускается еще один поток, который и выполняет основную работу по рассылки писем. Вначале бот соединяется с C&C по адресу: 66.232.126.138/spm/get_id.php скачивает файл и сохраняет его под именем _id.dat. Затем по полученным данным производится рассылка писем.

Trojan.Win32.TDSS.rtf

Имя файла: ddf5d2d88a541c6f532f4eedf5f399ea.exe
Размер: 124.00 Kb
Date/Time Stamp(GMT): 26.02.2009 9:18
http://www.virustotal.com/ru/analisis/d946e3b4b97996a576a24e7fad2700c3925da98cf9da22bb92bb51a9ff859f62-1243355864
http://www.threatexpert.com/report.aspx?md5=100b5b3f6cfef4c9290a3a7cbd5a58a4
Файл обработан криптором с длинной “лапшой” из прыжков разбавленных мусорными инструкциями. Активно используется выделяемая память для размещения расшифровываемых участков криптора, присутствует антиотладка. Сразу после расшифровки основного тела программы в региональных настройках Windows проверяется страна. Если страна входит в список: Azerbaijan, Belarus, Kazakhstan, Kyrgyzstan, Russia, Uzbekistan, Ukraine то процесс завершается.

Затем из тела программы расшифровывается новый файл размером 96 Кб, и записывается в папку TEMP. Далее программа копирует библиотеку msvcrt.dll в папку TEMP с рандомным именем (с префиксом UAC), и в точку входа библиотеки записывает 23 байта кода, производящего загрузку вызов функции LoadLibrary, производятся манипуляции с объектом “секция”.
Затем запускается сервис "msiserver" (Windows Installer), в адресном пространстве которого, есть библиотека “dll.dll”, которую программа извлекла в папку TEMP.
Имя файла: UAC4864.tmp
Размер: 96.00 Kb
Date/Time Stamp(GMT): 26.02.2009 9:18
http://www.virustotal.com/ru/analisis/47580d2305e3863c10ef22c9cb3382618df349a5bef3ffb1463b46bde62e389c-1243528604
Программа занимается тем, что загружает и передает управление настоящей библиотеке “msvcrt.dll”. В случае если процесс, в который загружается DLL является “msiexec.exe”, запускается дополнительный поток, который извлекает из тела программ драйвер и устанавливает его в системе.
Имя файла: UACxyxvixki.sys
Размер: 55.50 Kb
Date/Time Stamp(GMT): 26.01.2009 15:08
http://www.virustotal.com/ru/analisis/591602f60c8571f6b2fcb07d24d49829f0fb63caed587c531b9e82b6ee30909b-1243528879
Руткит занимается тем, что скрывает установленные файлы, скрывает сетевые соединения, получает список процессов, убивает процессы, инжектится к процессам.
Извлекает и устанавливает в систему DLL размером 30 Кб.
Имя файла: UACemovmpjw.dll
Размер: 30.00 Kb
Date/Time Stamp(GMT): 26.02.2009 9:18
http://www.virustotal.com/ru/analisis/5567c1c057defe4b12be7d92a284a79502a9322bd4877e1428b4e03d142c7fcf-1243529158
В таблице экспорта библиотека имеет название “tdll.dll” и 31 экспортируемую функцию. Названия функций отражают смысл их действий:
CmdExec
CmdExecAffID
CmdExecBotID
CmdExecBuild
CmdExecSubID
CmdExecType
CmdExecVersion
ConnectionHiddenAdd
CryptKeySet
DisallowedAdd
FileDownload
FileDownloadRandom
FileDownloadRandomUnxor
FileDownloadUnxor
ImpersonateAsInput
InjectorAdd
InjectorSet
Knock
ModuleDownload
ModuleDownloadUnxor
ModuleLoad
ModuleUnload
ModulesVersionLog
ProcessKill
ProcessList
ProcessTrustedAdd
Reboot
RegistryHiddenAdd
SetCmdDelay
SetInputDesktop
SetTimeout
При инициализации библиотеки создаются два потока:
первый следит за обновлениями бота по адресу: https://78.47.100.189/lcc

второй соединятся с командными серверами и выполняет команды
http://trafficstatic.net/banner/crcmds/main
http://trafficstatic.com/banner/crcmds/main
://symupdate2.com/banner/crcmds/main
http://94.142.128.160/banner/crcmds/main

Trojan.Win32.Malware

Имя файла: msncache.dll
Размер: 51.50 Kb
http://www.virustotal.com/ru/analisis/6f2db4f23932e90a5e4c816f8c10f2e4
Бот работает в качестве сервиса. Написан на Delphi. Не чем не упакован, нет защиты. В первую очередь расшифровываются строки, и инициализируется импорт. Устанавливает себя как сервис. Поддерживает сбор информации, обновление, скачивание и запуск программ. C&C по адресам:
bfkq.com
74.54.201.210
174.133. 72.250
jsactivity.com
74.55.37.210
174.133.126.2

Trojan-Ransom.Win32.SMSer.az

Имя файла: foto334.scr.exe
Размер: 71.50 Kb 180.00 Kb
Date/Time Stamp(GMT): 09.04.2009 14:48
http://www.virustotal.com/ru/analisis/dc33404760b1ace3ebfc065c766d1169
http://www.threatexpert.com/report.aspx?md5=b7331347c2c797440135b40ed37c335c
Устанавливает и запускает в системе 3 программ.
Имя файла: exploree.exe
Размер: 71.50 Kb
http://www.virustotal.com/ru/analisis/800f91d41cb59071c6882636490342c6
http://www.threatexpert.com/report.aspx?md5=02e4c35d3408466bb3da529c02d0cbcc
Троян Pinch. Ворует пароли от большого числа программ, отправляет по адресу www.absolute-speakers.co.uk

Имя файла: lsaass.exe
Размер: 99.00 Kb
http://www.virustotal.com/ru/analisis/a769c5772c4099e565fea300a33d2158
http://www.threatexpert.com/report.aspx?md5=e23b5e2e4b41d50c4510467323921e03
Троян блокирует работу системы, выводит сообщение с требованием выкупа:

Предусмотрено 6 вариантов текста для отправки СМС: oper, safin, serzh, muzzon, jaxx, tupak. Для разблокировки нужно ввести слово – vash.
Имя файла: tmp365.exe
Размер: 2.00 Kb
Date/Time Stamp(GMT): 08.04.2009 19:42
Написан на ассемблере, запускает поток, который пытается удалить файлы exploree.exe и lsaass.exe, а затем удаляет сам себя.

Trojan-Ransom.Win32.Blocker

Имя файла: xvidDecoder60.exe
Размер: 101.50 Kb
Date/Time Stamp(GMT): 14.04.2009 15:34
http://www.virustotal.com/ru/analisis/26e9e579b640bed619561b23c10ce799
http://www.threatexpert.com/report.aspx?md5=ad2067912176a415afe89e43686507af
Дропер трояна WinLock, извлекает в папку темп файл с рандомным именем и префиксом don. Устанавливает его в автозагрузку, дописав на старте к userinit.exe.
Имя файла: don2.tmp.exe
Размер: 110.50 Kb
Date/Time Stamp(GMT): 14.04.2009 15:34
http://www.virustotal.com/ru/analisis/15168836395103bf6b573acf8bb8fe85
http://www.threatexpert.com/report.aspx?md5=c4d964a404ac82a5f1fa44237fe52f6b
Файл сильно замусорен, очень много лишнего кода. Создает дополнительный десктоп на нем рисует следующею картинку:

Код генерится на основе версии Windows и текущей даты. Если просто нечего не делать, то это спустя пару часов блокировка будет снята, а файл самоудалится. Код для снятия блокировки генерится по формуле:
(((((((X/(2^16))&15)*149)%167)*16+(((X/(2^12))&15)*108)%151)*16+(((X/(2^8))&15)*31)%163)*16+(((X/(2^4))&15)*29)%179)*16+((X&15)*53)%197=
, где X число из текста СМС равено числу текста СМС начиная с 4 символа
Командный центр: f3g3fff3fggff3.com
Имя файла: _don18.exe
Размер: 133.00 Kb
Date/Time Stamp(GMT): 24.04.2009 14:32
http://www.virustotal.com/ru/analisis/dbe138abe259534aa6c3b199156b0faf
http://www.threatexpert.com/report.aspx?md5=ea90969e13d2061054e8dd276720d0d0
Код очень похож на предыдущей экземпляр, похожее окошко:

Код для анлока вычисляется по той же формуле, только X – начиная с третьего символа, по два символа через один (для кода с картинки X=676200). Командный центр: 91.212.132.180

Virus.Win32.Virut.av

Имя файла: NOTEPAD.EXE
Размер: 74.50 Kb
Date/Time Stamp(GMT): 04.08.2004 6:05
http://www.virustotal.com/ru/analisis/40352a18cbc7be8d8c17ef4c670cb7c7
http://www.threatexpert.com/report.aspx?md5=127c54b4211f076ef745788acbd3bdaa
Обычный блокнот заражен вирусом Virut. Размер файла увеличился на 7 Кб. Увеличение за счет расширения последней секции файла, в данном случаи секции ресурсов. Переход на добавленный код сразу на точке входа. Сначала вирус расшифровывает свое тело, затем создает мэпируемую секцию “SectVirtu”, добавляет себе отладочные права, перебирает процессы в системе, затем к пятому по счету процессу (winlogon.exe), мэпируется созданная секция и делает инжект (CreateRemoteThread). В новом потоке производится запись в файл “C:\WINDOWS\system32\DRIVERS\ETC\HOSTS” строки “127.0.0.1 NtKrnlpa.info”. Из ветки “SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer” читает ключ TargetHost. Затем в ветку "SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List" добавляется исключение для встроенного фаервола.
Затем идет запрос на командный сервер "proxim.ntkrnlpa.info"

Net-Worm.Win32.Kolabc.gda

Имя файла: unwise_.exe
Размер: 137 Кб
Time/Date Stamp (GMT): 26 марта 2009 г. 06:03:13
http://www.virustotal.com/ru/analisis/a4ec604685deb703f90bcc59cd775a47
http://www.threatexpert.com/report.aspx?md5=bf3e95a24e203f680465e165ba4a02b1
Файл в несколько слоев обернут протекторами: первый не представляет из себя нечего сложного, во втором и третьем применена антиотладка и антидамп. После распаковки оказалось, что программа написана на С++. Качество кода достаточно низкое.
Вначале как всегда инициализация импорта. Затем идут антиотладочные проверки: IsDebuggerPresent, поиск строк VMware в реестре, проверка GetTickCount и т.д., в случаи нахождения чего-либо подозрительного программа самоудаляется с помощью BAT файла. Далее идет странная проверка на хук функции MessageBox, проверяются первые 5 байт этой функции и если это “E8 00 04 00 60” (CALL куда?), то программа зацикливается.

После этого расшифровываются строки, часть строк зашифрована по замысловатому алгоритму, основанному на XOR, а часть с использованием алгоритм BlowFish. Файл копируется в папку FONTS и запускается как служба с именем “Windows Host Controller”. Затем запускается новый поток, который проверяет наличие мютекса "gx000032", если он есть, то система уже инфицирована и процесс завершается. Программа читает ключи из ветки реестра “SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions” и если там есть ключи с именами файлов, то они удаляются. Затем в эту ветку записывается дата и время заражения, и время работы системы. Далее просматриваются и отправляются в командный центр список служб, доступность записи в реестр и общие сетевые ресурсы. Очищается кеш DNS и все журналы событий. Червь правит множество параметров в реестре для своей комфортной работы по сети, включая отключение встроенного бранмауера и проброс портов с помощью программы “netsh.exe”.
Далее начинается непосредственно работа с командным центром. В программу зашит большой список IRC серверов, которые можно использовать для управления ботом:
cx10man.weedns.com
fx010413.whyI.org
gynoman.weedns.com
c010x1.co.cc
commgr.co.cc
g.0x20.biz
telephone.dd.blueline.be
phonewire.dd.blueline.be
phonelogin.dd.blueline.be
ufospace.etowns.net
theforums.bbsindex.com
phonewire.dnip.net
phonelogin.dnip.net
koopa.dnip.net
cx10man.weedns.com
fx010413.whyI.org
gynoman.weedns.com
c010x1.co.cc
commgr.co.cc
g.0x20.biz
telephone.dd.blueline.be
phonewire.dd.blueline.be
phonelogin.dd.blueline.be
ufospace.etowns.net
theforums.bbsindex.com
phonewire.dnip.net
phonelogin.dnip.net
koopa.dnip.net
Интересно, что среди большого количества функций по управлению ботом (апдейт, сбор информации, DoS, заражение USB дисков и т.д.), есть функция самоуничтожения. При запросе информации о версии, бот отправляет: “Built: Mar 26 2009 01:02:59 g.3.2 (g.3.2.3.fp)”.