TR/Spy.Banker.aca - Trojan

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	TR/Spy.Banker.aca
Обнаружен:	26/08/2005
Вид:	Троянская программа
Подвид:	spyware
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Низкий
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	1,249,855 байт.
Контрольная сумма MD5:	a663d38656dcbfd49a99cd6a997b2eb9
Версия VDF:	6.31.1.186

Общее Метод распространения:
   • Нет собственной процедуры распространения

Псевдоним (alias):
   • Mcafee: PWS-Banker.gen.bb
   • Kaspersky: Trojan-Spy.Win32.Banker.aca
   • Sophos: Troj/Bancban-ES

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Отслеживается и записывает введенные с клавиатуры символы
   • Изменение реестра
   • Похищает информацию

Файлы Создается собственная копия:
• %WINDIR%\Config\svchost.exe

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "svchost"="c:\windows\\config\\svchost.exe"

Email Не имеет собственной процедуры размножения. Занимается рассылкой электронных писем. Адресат может оказаться отправителем. Подробности приведены ниже:

Дизайн писем:
От: Makina:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: %Имя компьютера% Infectado
Текст письма:
   • Nome do Computador: %Имя компьютера% Infected
     IP: %текущий IP адрес%
     Data: %актуальная дата%
     Hora: %актуальное время%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banrisul
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ------------> Banrisul <--------------
     BANRISUL Agencia=%похищенная информация%
     BANRISUL Conta=%похищенная информация%
     BANRISUL Senha=%похищенная информация%
     BANRISUL Senha Complementar=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Bradesco
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     -------------> Bradesco <--------------
     BRADESCO Agencia :%похищенная информация%
     BRADESCO Conta :%похищенная информация%
     BRADESCO Tipo de conta:%похищенная информация%
     BRADESCO S. 4 digitos:%похищенная информация%
     BRADESCO Resposta secreta:%похищенная информация%
     BRADESCO S. Cartao de Debito:%похищенная информация%
     BRADESCO CPF:%похищенная информация%
     BRADESCO Data de nascimento:%похищенная информация%
     BRADESCO RG:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Unibanco
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     -------------> Unibanco <-------------
     UNIBANCO AG=%похищенная информация%
     UNIBANCO Conta=%похищенная информация%
     UNIBANCO Digito=%похищенная информация%
     UNIBANCO Senha CC=%похищенная информация%
     UNIBANCO Ass. Eletronica=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Unibanco Empresa
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ----------> Unibanco Empresa <---------
     UNIBANCO Apelido=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banco Estadual do Cear
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ------->>> Banco Estadual do Cear <<-------
     BEC Agencia:%похищенная информация%
     BEC Conta:%похищенная информация%
     BEC Digito:%похищенная информация%
     BEC Senha NET:%похищенная информация%
     BEC Resposta:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banco de Brasilia
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ----------------> BRB <----------------
     BRB Usuario=%похищенная информация%
     BRB Conta=%похищенная информация%
     BRB Senha=%похищенная информация%
     BRB Senha AE=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Nossa Caixa
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     -----------> Nossa Caixa <-------------
     NOSSACEF Agencia=%похищенная информация%
     NOSSACEF Digito Agencia=%похищенная информация%
     NOSSACEF Conta=%похищенная информация%
     NOSSACEF Digito Conta=%похищенная информация%
     NOSSACEF Ass Eletronica=%похищенная информация%
     NOSSACEF Nome=%похищенная информация%
     NOSSACEF Senha=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Real
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ---------------> Real <----------------
     REAL Login=%похищенная информация%
     REAL AG=%похищенная информация%
     REAL Conta=%похищенная информация%
     REAL Senha NET=%похищенная информация%
     REAL Senha CC=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Santander
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ------------> Santander <-------------
     SANTANDER User=%похищенная информация%
     SANTANDER Agencia=%похищенная информация%
     SANTANDER Conta=%похищенная информация%
     SANTANDER 4 digitos=%похищенная информация%
     SANTANDER Ass. Eletronica=%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banco do Nordeste
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     --------> Banco do Nordeste <---------
     NORDESTE Usuario:%похищенная информация%
     NORDESTE Agencia:%похищенная информация%
     NORDESTE Conta:%похищенная информация%
     NORDESTE Digito:%похищенная информация%
     NORDESTE S.Atend:%похищенная информация%
     NORDESTE Cartao:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banespa
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     -------------> Banespa <--------------
     BANESPA Usuario:%похищенная информация%
     BANESPA Agencia:%похищенная информация%
     BANESPA Conta:%похищенная информация%
     BANESPA Digito:%похищенная информация%
     BANESPA S.Atend:%похищенная информация%
     BANESPA Cartao:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Banco Rural
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     -----------> Banco Rural <------------
     RURAL Usuario:%похищенная информация%
     RURAL Senha:%похищенная информация%
     RURAL Agencia:%похищенная информация%
     RURAL Tipo:%похищенная информация%
     RURAL Conta Corrente:%похищенная информация%
     RURAL Digito:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Gerenciador Financeiro
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ---------> Gerenciador Financeiro <---------
     GF CHAVE ACESSO:%похищенная информация%
     GF SENHA ACESSO:%похищенная информация%
     GF AGENCIA:%похищенная информация%
     GF CONTA CORRENTE:%похищенная информация%
     GF SENHA 8 DIG:%похищенная информация%
     --------------------------------------------
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Ita
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ---------------> Ita <---------------
     ITAU Agencia:%похищенная информация%
     ITAU Conta:%похищенная информация%
     ITAU Senha internet:%похищенная информация%
     ITAU Senha do cartao:%похищенная информация%
     ITAU 5 digitos do cartao:%похищенная информация%
     ITAU Senha eletronica:%похищенная информация%
     ITAU numero do portador:%похищенная информация%
     ITAU nascimento:%похищенная информация%
     PC:%похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: Caixa
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     --------------> Caixa <----------------
     CAIXA Tipo=%похищенная информация%
     CAIXA Agencia=%похищенная информация%
     CAIXA Conta=%похищенная информация%
     CAIXA S. Intermet=%похищенная информация%
     CAIXA Ass. Eletronica= %похищенная информация%
От: PC:%Имя компьютера%
Кому: bl4d3xcool2@gmail.com
Тема: BB
Текст письма:
   • <Kl built in: %актуальная дата%-------------->
     --------------> Info`z <---------------
     Nome do Computador: %Имя компьютера%
     IP: %текущий IP адрес%
     Data: %актуальная дата% Hora: %актуальное время%
     ---------------> BB <-----------------
     BB Titular:%похищенная информация%
     BB Agencia:%похищенная информация%
     BB Conta:%похищенная информация%
     BB Senha A.Atendimento:%похищенная информация%
     BB Senha Cartao:%похищенная информация%
     <------------------------------------->

Письмо могло бы выглядеть следующим образом:

Отправка MX Server:
Обладает способностью связаться со следующим MX сервером:
• smtp.isbt.com.br

Кража – После посещения одной из следующих веб-страниц была запущена функция протоколирования:
   • wwws1.bec.com.br
   • banknet.brb.com.br/brbBanknet
   • banknet.brb.com.br/banknet
   • wwws.nossacaixa.com.br/bemvindo.asp
   • nel.bnb.gov.br
   • empresarial.unibanco.com.br/index.asp
   • ibpf.unibanco.com.br/index.asp
   • santandernet.com.br
   • www.realsecureweb.com.br/scripts/engine_brpi.dll
   • www2.realsecureweb.com.br/scripts/engine_brpi.dll
   • https://wwwss.bradesco.com.br - Bradesco Internet Banking
   • https://wwwss.bradesco.com.br/scripts/ib2k1.dll/LOGIN
   • https://ww4.banrisul.com.br/bto/link/msie/btope0hw.asp

– Запуск функции протоколирования при посещении веб-страницы с одной из следующих последовательностей в URL:
   • itau
   • bradesco
   • realemp
   • banespa
   • santander
   • unibanco
   • uniempresa
   • caixa
   • real
   • bbjuridica
   • bec
   • brb
   • nossacaixa
   • banrisul
   • nordeste
   • bancorural

– Протоколируется:
    • Нажатие клавиш
    • Регистрационная информация

Разное Мьютекс:
Создается мьютекс:
• STFK MutexXx

Данные файла Язык программирования:
Программа была написана на Delphi.

Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• PEtite 2.2

Краткое описание см. здесь.

Описание добавлено: Iulia Diaconescu Mon, 29 Aug 2005 11:18 (GMT+1)
Описание обновлено: Iulia Diaconescu Mon, 19 Sep 2005 14:03 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back