Недавно уже сообщалось о распространении узкоспециализированной троянской программы BackDoor.Dande, предназначенной для хищения информации из приложений, используемых аптеками и фармацевтическими фирмами для закупки медикаментов. Вирусописатели модифицировали данного трояна, немного изменив его архитектуру. Специалисты компании «Доктор Веб» установили, что эта вредоносная программа инфицировала компьютеры порядка 400 аптек, расположенных преимущественно в южных регионах России. С помощью BackDoor.Dande.2 злоумышленники похищают информацию об объемах заказов и ценах закупаемых этими организациями лекарств. Напомним, что трояны семейства BackDoor.Dande заражают компьютеры, работающие под управлением Microsoft Windows. Первая версия этой вредоносной программы была предназначена для хищения информации из нескольких используемых в фармацевтической индустрии «систем электронного заказа», таких как специализированная конфигурация «Аналит: Фармация» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторых других. Обновленная версия BackDoor.Dande, получившая наименование BackDoor.Dande.2, ориентирована на сбор данных только из приложения «АИАС ИНПРО-ФармРынок» производства компании «Информационные Технологии». В составе BackDoor.Dande.2 имеется два драйвера — один из них, размером порядка 8 КБ, обычно хранится в файле с именем rpcssprt.sys или isaPnpPrt.sys, его основное предназначение — загрузка в память инфицируемого компьютера другого драйвера, имеющего то же имя, но другое расширение — .cfg. Если драйверу удается открыть файл с полезной нагрузкой, он расшифровывается, распаковывается и загружается в память. Оба файла имеют цифровую подпись, зарегистрированную на имя SPВ Group OOO. При этом в свойствах драйвера isaPnpPrt.sys указано, что этот файл якобы является драйвером ATAPI производства Microsoft Corporation. В целом складывается впечатление, что данный драйвер был приобретен вирусописателями у сторонних разработчиков в качестве средства для загрузки в память неподписанных драйверов. Основной драйвер BackDoor.Dande.2 в различных модификациях используется множеством других вредоносных программ – например, Trojan.Spambot, BackDoor.BlackEnergy и BackDoor.Bulknet. В качестве основы для этого компонента был взят руткит Blackreleaver. Драйвер создает в системе новое виртуальное устройство, которое реализует различные сервисы, например, удаление по команде злоумышленников вредоносного драйвера с диска и связанных с ним данных из системного реестра, получение из реестра значения ID трояна, поднятие привилегий для текущего процесса (применяется перед запуском загруженных из сети файлов) и т. д. Необходимые для своей работы параметры вредоносный драйвер сохраняет в системном реестре Windows. Например, если он представлен в виде файла с именем isaPnpPrt, данные будут размещены в ветви реестра HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesisaPnpPrt. Функционал этого драйвера, по сравнению с версиями, использовавшимися в других вредоносных программах, сильно ограничен: фактически, он реализует только одну основную задачу — встраивание полезной нагрузки в процессы explorer.exe и svchost.exe. Часть изначально реализованных в драйвере возможностей до сих пор присутствует в его архитектуре, но никак не используется. Механизм установки драйверов реализован в модуле pexec.dll — именно он расшифровывает полезную нагрузку из своего тела, сохраняет драйверы на диске, вносит соответствующие изменения в системный реестр Windows и запускает драйвер с использованием функции NtLoadDriver.
Подробности