Trojan-Banker.Win32.Banbra.ukb

Технические детали
Деструктивная активность

Технические детали

Вредоносная программа, предназначенная для кражи пользовательской информации, относящейся к различным банковским системам. Является исполняемым файлом Windows (PE EXE-файл). Имеет размер 30239 байт. Написан на Delphi.

Инсталляция

При запуске, вредоносная программа извлекает из себя и создает в системной папке windows файл, являющийся динамически подключаемой библиотекой(.dll файл) и содержащий основной вредоносный функционал:

%system%\overlapp32.dll

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на созданный файл в ключ автозапуска системного реестра:

Деструктивная активность

Программа перехватывает все логины и пароли, используемые для доступа к системам интернет-банкинга, при вводе их в окна следующих процессов:

firefox.exe
java.exe
javaw.exe
iexplore.exe
opera.exe
explorer.exe

Также отслеживается ввод информации в окна, принадлежащие классу SunAwtFrame Кроме этого, программа собирает информацию о цифровых сертификатах, используемых для доступа к системам интернет-банкинга.

Вся собранная информация отправляется злоумышленнику с помощью HTTP Post запроса на адрес:

http://secbanking.com/wtf/online.php#ID-<username>.<compname>#

Где <username> - имя пользователя, <compname> - имя компьютера.