|
Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 93696 байт. Упакован при помощи UPX, распакованный размер – около 183 КБ.
Инсталляция
При запуске бэкдор извлекает из своего тела следующие файлы:
%System%\hl.dat – размер 45474 байт
%System%\scerpt.dll – размер 4096 байт
%System%\hmlphl.dll – размер 86016 байт
%System%\mrcmgr.exe – размер 36864 байт
предварительно извлекая их в свою рабочую папку с именами состоязщими из случайной последовательности прописных латинских букв и расширения .tmp.
Бэкдор регистрирует один из своих компонентов как Browser Helper Object, создавая при этом следующий ключ реестра:
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]
"default" = "BhoApp Class"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\InprocServer32]
"default" = "%System%\hmlphl.dll"
"ThreadingModel" = "Apartment"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\ProgID]
"default" = "MSApp.BhoApp.1"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\TypeLib]
"default" = "{DC8305B3-1EE7-4d58-83EF-2C5BC6C6566C}"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-
0AADDEC8A14B}\VersionIndependentProgID]
"default" = "MSApp.BhoApp"
Для автоматического запуска при каждом следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"1" = "%System%\mrcmgr.exe"
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit" = "%System%\userinit.exe,%System%\mrcmgr.exe"
Деструктивная активность
Используя следующие функции системной библиотеки crypt32.dll:
CertEnumCertificatesInStore
PFXExportCertStoreEx
бэкдор экспортирует сертификаты и ключи шифрования установленные в системе пользователя в файлы с расширением .pfx в папке %Temp%:
Бэкдор запускает HTTP прокси сервер на 6666 TCP порту, а также патчит системный файл:
%System%\drivers\tcpip.sys
убирая ограничение на количество создаваемых сокетов в системе.
Бэкдор похищает параметры учетных записей Outlook, перехватывает текст вводимый пользователем в полях ввода на веб страницах в Internet Explorer, а также перехватывает ввод с клавиатуры при помощи функции SetWindowsHookEx, кроме этого бэкдор следит за URL, которые пользователь вводит в строке адреса браузера и перехватывает отправляемые в интернет данные форм на веб страницах. Также бэкдор похищает содержимое защищенного хранилища Windows. Собранные данные бэкдор сохраняет в файлах с расширением .log в папке %Temp%.
Также бэкдор поддерживает следующие команды удаленного управления:
* выполнение произвольной команды shell;
* полный удаленный доступ к жесткому диску зараженного компьютера;
* запуск/остановка процессов;
* удаление себя из системы;
* снятие скриншотов текущего окна, с которым работает пользователь и
сохранение их в виде набора файлов с расширением .jpg в папке %Temp%.
|
