|
|
02/12/2013 15:15:43 - Trojan.Win32.Banker.ZK: ruba credenziali di accesso bancarie, ftp e email.
Nome: Trojan.Win32.Banker.ZK Dimensione: 217232 bytes MD5: 5de629d93b248ec4175b39b5614178f9 Data scoperta: 28/11/2013 Il Trojan.Win32.Banker.ZK viene scaricato e installato dal Trojan.Win32.Dropper.R (MD5: 11c469a0c2e81e4fefbdf50f0835e249, dimensione 73105 bytes). Il Trojan.Win32.Dropper.R arriva via posta elettronica con un allegato di un falso documento PDF di una fattura, di un ordine o di un pagamento. L'esecuzione del file allegato (esempio orders.exe) comporta l'installazione del dropper all'interno della cartella: c:\documents and settings\all users\dxwmjh.exe Il Trojan.Win32.Dropper.R si mette in esecuzione automatica modificando la seguente chiave di registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run [nnnnn] = %AllUsersProfile%\dx<nome casuale>.exe dove nnnnn = numero casuale Esempio: [52098] = c:\documents and settings\all users\dxwmjh.exe All'interno del file .EXE del Trojan.Win32.Dropper.R è riportato il "Time Date Stamp" di compilazione: 27/11/2013 13:03:07 Il Trojan.Win32.Dropper.R invia la seguente richiesta crittografata al sito http://dnc.su/bi??ing.php: "T7xpI0TD7JHnucdjRCBiDoWU2CeeGjTYf035ZXT4VsTjcgJ9oBOndUnr04fvTICLBPQtY1Y/cxc2MA==" Il sito russo, risponde una pacchetto dati binario crittografato. Il Trojan.Win32.Dropper.R invia le seguenti richieste ai seguenti siti per installare il Trojan.Win32.Banker.ZK e altri malware: http://rivernews.net/top??ws.php http://latte.su/co??ee.php ---> jerry.bin (39675 bytes) http://spa??hp.com/grow.exe http://bizwires.net/fi??ing.php http://ribous.com/y??k.php A questo punto Trojan.Win32.Banker.ZK viene eseguito e messo in esecuzione automatica, modificando la seguente chiave di registro: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run [{clsid casuale}] = %userprofile%\%appdata%\<random1>\<random2>.exe Esempio: [{0964610F-8304-003F-5911-B02472E90F4E}] = C:\Documents and Settings\Luigi\Dati applicazioni\Nehire\ebkomo.exe Il Trojan.Win32.Banker.ZK viene copiato in un file con nome casuale all'interno di una cartella con nome casuale creata all'interno di "Dati Applicazioni" dell'utente. All'interno del file .EXE del Trojan.Win32.Banker.ZK è riportato il "Time Date Stamp" di compilazione: 28/11/2013 09:36:42 Il Trojan.Win32.Banker.ZK è in grado di rubare le credenziali di accesso a:
Quando eseguito il Trojan.Win32.Banker.ZK, questo esegue un inject all'interno di tutti i processi, agganciandosi alle seguenti API:
Ruba indirizzi email da:
Client di posta elettronica da cui ruba login e password:
Comandi Botnet: Il Trojan.Win32.Banker.ZK può comunicare attraverso la botnet con i seguenti comandi:
Geolocalizzazione dei domini contattati dal Trojan.Win32.Banker.ZK e Trojan.Win32.Dropper.R:
Altri domini:
Rimozione: VirIT versione 7.5.47 e successive. Analisi a cura dell'ing. Gianfranco Tonello C.R.A.M. Centro Ricerche Anti Malware by TG Soft Utilizzabilità delle informative e delle immagine in esse contenute
Ogni informazione pubblicata sul nostro sito può essere utilizzata e pubblicata su altri siti internet, blog, forum, facebook a patto che venga sempre e comunque citata la fonte "Fonte: C.R.A.M. by TG Soft www.tgsoft.it" con link cliccabile all'informativa e/o pagina web originale da cui sono stati estrapolati contenuti testuali, spunti e/o immagini. Inoltre per ogni immagine utilizzata dovrà essere sempre indicata la fonte ed il link cliccabile alla pagina originale dell'informativa di prima pubblicazione. Per quanto riguarda le pubblicazioni cartacee sarà necessario citare la fonte esplicitamente "Fonte: C.R.A.M. by TG Soft www.tgsoft.it" ed in analogia alle pubblicata elettroniche i link sotto ad ogni immagine alla pagina web originale da cui sono state estratte.
Sarà gradito nel caso di utilizzo dell'informativa del C.R.A.M. by TG Soft www.tgsoft.it nella relazione di articoli di sintesi il riconoscimento/ringraziamento di seguito "Si ringrazia il Centro Ricerche Anti-Malware C.R.A.M. by TG Soft di cui segnaliamo il link diretto all'informativa originale:[link diretto cliccabile]"
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
 |
| Legal & Eula | Privacy | Disinstallazione |
TG Soft S.r.l. - via Pitagora 11/b, 35030 Rubàno (PD), ITALIA - C.F. e P.IVA 03296130283 |
