Backdoor.Win32. Buterat.afj

Вредоносная программа, предоставляющая злоумышленнику удаленный доступ к зараженной машине. Является приложением Windows (PE-EXE файл). Имеет размер 89088 байт. Упакована неизвестным упаковщиком. Распакованный размер – около 181 КБ. Написана на C++.

Инсталляция

После запуска бэкдор копирует свое тело в файл:

%APPDATA%\netprotocol.exe

При этом для противодействия сигнатурным анализаторам антивирусных программ, в копии модифицируются 2 байта:

Подвергнутая подобной модификации копия детектируется Антивирусом Касперского как "Trojan-PSW.Win32.Qbot.aem".

Для автоматического запуска созданной копии при каждом следующем старте системы создается ключ системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Netprotocol" = "%APPDATA%\netprotocol.exe"

Если данный ключ создать не удается, бэкдор создает ключ:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Netprotocol" = "%APPDATA%\netprotocol.exe"

После этого бэкдор запускает созданную копию на выполнение.
name="doc3">

Деструктивная активность

Бэкдор способен копировать свое тело в файл:

%WorkDir%\netprotocol.dll

и, используя экспортируемую функцию "_ClearEvent@12", внедрять в адресное пространство процессов браузеров:

firefox.exe
iexplore.exe
opera.exe

исполняемый код, перехватывающий вызовы API-функций:

WSARecv
recv
send

библиотеки "ws2_32.dll". Таким образом, бэкдор получает возможность следить за входящим и исходящим трафиком браузеров, и по команде злоумышленника собирать информацию о поисковых запросах пользователя на сайты:

http://rupoisk.ru
http://ru.search.yahoo.com
http://www.bing.com
http://nigma.ru
http://search.qip.ru
http://nova.rambler.ru
http://www.google.ru
http://yandex.ru

а также перенаправлять пользователя на следующие ресурсы:

http://aut***gun.ru        
http://sear***tnik1.ru        
http://autoc***gun.ru
http://ppc***gun.ru

Также по команде злоумышленника бэкдор может обновлять свой исполняемый файл, загружая обновление с сервера злоумышленника. Кроме того, может загружаться файл, сохраняемый в рабочем каталоге бэкдора как:

%WorkDir%\netprotdrvss

После успешной загрузки файл запускается на выполнение.

Запросы к серверу злоумышленника, к примеру, могут иметь следующий вид:

• успешная установка бэкдора в системе:

  /nconfirm.php?rev=294&code=3m=2&num=
  40401870851072

• запрос на получение команды:

  /njob.php?num=&rev=294

• запрос на загрузку файла "netprotdrvss":

  /nconfirm.php?rev=294&code=7m=0&num
  =40401870851072
  

Число "" генерируется на основе текущего системного времени. Подстрока "" – имя сервера злоумышленника, может принимать значения:

http://sjd***sla.com
http://sa***d.com
http://se***nd.com
http://ha***rd.net
http://he***cy.com

На момент создания описания подключиться к указанным серверам не удалось. Имена команд, обрабатываемых бэкдором:

ZORKASITE
ZORKAFEED
BODYCLICK
KEYWORDS
RUPFEED
RUPPUBL
XMLFEED
REKLOSOFT
TEASERNET
MARKETGID
SUPERPOISK
RSCONTEXT
SPUTNIK
DIRECTST
GOOGADS
HOTLOGCH
LIVINETCH
BEGUNCH
UPDATE
SPLICEPROC
COOKREJCT
ZORKAFST
SEPARATEPROC
TERMINATE
DESTROY

Также после запуска бэкдор выполняет следующие действия:

• будучи запущенным с параметрами:

  /updatefile3
  /updatefile2
  /updatefile1
  

  бэкдор обновляет свой исполняемый файл, загружая обновление с сервера злоумышленника.
• Вызывая функцию "InternetClearAllPerSiteCookieDecisions", очищает содержимое ветви системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
  P3P\History]
  

• Создает ключи системного реестра:

  [HKLM\Software\Microsoft\Netprotocol]
  "UniqueNum" = ""
  
  [HKCU\AppEvents\Schemes\Apps\Explorer\Navigating\.Current]
  "(Default)" = ""
  
  [HKCR\MIME\Database\Content Type\application/x-javascript]
  "CLSID" = "{25336920-03F9-11cf-8FD0-00AA00686F13}"
  
  [HKCR\MIME\Database\Content Type\text/javascript]
  "CLSID" = "{25336920-03F9-11cf-8FD0-00AA00686F13}"