"Доктор Веб" исследовал нового банковского троянца

Вирусные аналитики компании "Доктор Веб" исследовали новую версию вредоносной программы, относящейся к широко известному семейству Trojan.Gozi.

Банковский троянец, получивший наименование Trojan.Gozi.64, основывается на исходном коде предшествующих версий Trojan.Gozi, который уже долгое время находится в свободном доступе. Как и другие представители этого семейства, Trojan.Gozi.64 может заражать компьютеры под управлением 32- и 64-разрядных версий Windows. Троянец не имеет алгоритмов для генерации имен управляющих серверов — их адреса "зашиты" в его конфигурации, в то время как одна из первых версий Gozi использовала в качестве словаря текстовый файл, загружаемый с сервера NASA.

Создатели троянца заложили в него ограничение, благодаря которому он способен работать с операционными системами Microsoft Windows 7 и выше, в более ранних версиях Windows вредоносная программа не запускается. Дополнительные модули скачиваются с управляющего сервера специальной библиотекой-лоадером, при этом протокол обмена данными использует шифрование. Лоадером Trojan.Gozi.64 могут выполняться на зараженной машине следующие вредоносные функции:

проверка обновлений троянца; загрузка с удаленного сервера плагинов для браузеров, с помощью которых выполняются веб-инжекты; загрузка с удаленного сервера конфигурации веб-инжектов; получение персональных заданий, в том числе для загрузки дополнительных плагинов; удаленное управление компьютером.

Trojan.Gozi.64 может встраивать в просматриваемые пользователем веб-страницы произвольное содержимое: например, поддельные формы авторизации на банковских сайтах и в системах "Банк — клиент". При этом, поскольку модификация веб-страниц происходит непосредственно на зараженном компьютере, URL такого сайта в адресной строке браузера остается корректным, что может ввести пользователя в заблуждение и усыпить его бдительность. Введенные в поддельную форму данные передаются злоумышленникам, в результате чего учетная запись жертвы троянца может быть скомпрометирована.

Помимо этого, на зараженный компьютер могут быть загружены и установлены дополнительные модули, в частности плагин, фиксирующий нажатие пользователем клавиш, модуль для удаленного доступа к инфицированной машине (VNC), компонент SOCKS-proxy-сервера, плагин для хищения учетных данных из почтовых клиентов и некоторые другие.