Backdoor.Win32. H3.a

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 93696 байт. Упакован при помощи UPX, распакованный размер – около 183 КБ.

Инсталляция

При запуске бэкдор извлекает из своего тела следующие файлы:

%System%\hl.dat – размер 45474 байт
%System%\scerpt.dll – размер 4096 байт
%System%\hmlphl.dll – размер 86016 байт
%System%\mrcmgr.exe – размер 36864 байт

предварительно извлекая их в свою рабочую папку с именами состоязщими из случайной последовательности прописных латинских букв и расширения .tmp.

Бэкдор регистрирует один из своих компонентов как Browser Helper Object, создавая при этом следующий ключ реестра:

[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]
"default" = "BhoApp Class"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\InprocServer32]
"default" = "%System%\hmlphl.dll"
"ThreadingModel" = "Apartment"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\ProgID]
"default" = "MSApp.BhoApp.1"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\TypeLib]
"default" = "{DC8305B3-1EE7-4d58-83EF-2C5BC6C6566C}"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-
0AADDEC8A14B}\VersionIndependentProgID]
"default" = "MSApp.BhoApp"

Для автоматического запуска при каждом следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"1" = "%System%\mrcmgr.exe"
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit" = "%System%\userinit.exe,%System%\mrcmgr.exe"

Деструктивная активность

Используя следующие функции системной библиотеки crypt32.dll:

CertEnumCertificatesInStore
PFXExportCertStoreEx

бэкдор экспортирует сертификаты и ключи шифрования установленные в системе пользователя в файлы с расширением .pfx в папке %Temp%:

Бэкдор запускает HTTP прокси сервер на 6666 TCP порту, а также патчит системный файл:

%System%\drivers\tcpip.sys

убирая ограничение на количество создаваемых сокетов в системе.

Бэкдор похищает параметры учетных записей Outlook, перехватывает текст вводимый пользователем в полях ввода на веб страницах в Internet Explorer, а также перехватывает ввод с клавиатуры при помощи функции SetWindowsHookEx, кроме этого бэкдор следит за URL, которые пользователь вводит в строке адреса браузера и перехватывает отправляемые в интернет данные форм на веб страницах. Также бэкдор похищает содержимое защищенного хранилища Windows. Собранные данные бэкдор сохраняет в файлах с расширением .log в папке %Temp%.

Также бэкдор поддерживает следующие команды удаленного управления:

      * выполнение произвольной команды shell;
      * полный удаленный доступ к жесткому диску зараженного компьютера;
      * запуск/остановка процессов;
      * удаление себя из системы;
      * снятие скриншотов текущего окна, с которым работает пользователь и 
        сохранение их в виде набора файлов с расширением .jpg в папке %Temp%.