Protégez votre univers

Nos autres ressources

  • free.drweb.fr — utilitaires gratuits, plugins, widgets
  • av-desk.com — service Internet pour les prestataires de services Dr.Web AV-Desk
  • curenet.drweb.com — l'utilitaire de désinfection réseau Dr.Web CureNet!
Fermer

Bibliothèque
Ma bibliothèque

+ Ajouter à la bibliothèque

Contacter-nous !
Support 24/24 | Rules regarding submitting

Nous téléphoner

0 825 300 230

Forum

Vos requêtes

  • Toutes : -
  • Non clôturées : -
  • Dernière : le -

Nous téléphoner

0 825 300 230

Profil

Trojan.PWS.Banker1.28321

Added to Dr.Web virus database:2018-09-19
Virus description was added:2018-09-27

SHA1:

Downloader:

  • 0bc9a778a28ba6abba92330d750fc9769484a9a5
    e9b510a2c58638d00b8a4af7e4f49e8d3a52bcd3
    f2f2eb334719ef6b7a2a522a7eac6f33ee7c810d
    f4b49b874e3715926eaf56d574408a63353b2753
    f10e8e3362834843c9df8bdd5316912c8185e547
    f494bc28a86332db98efbb049b9f9981ef24fd8b
    f5846e4990aa5af2f7e1268223b1710415f11459
    fb64604fbbbdfa888aeb090df7008c15b2e25fe6
    fe2924d1e3d5215273e672e1ea4bb2b1ee57e5e8
        

VBScript

  • 9dbc627eae65c147f996ef2a524ed89603ade13c
    b8b4fc9efccbeddc39ee0d825ed2e3037ee85efc
    c71e5f572a659774ab0c0a52da40013709408823
        

Dynamic libraries:

  • 2f7be7a0649288a9bb72fad0e5fb2a38031edf9b
    6c83a4a362c730066c63986369213ce05c666e35
    5fa08c5e4595040c89540ef1194d53916ba5820c
    7c5f3e935bfc1deb0460b9c9649cf75568cdbb71
    8611f08c570a1dcf42b7d2961a3757367eb650a0
    f18a4ed258540e3b0da4c3d66d144317a6f23066
        

The banking Trojan for Windows, targeted to Brazilian credit organizations customers. Written in .NET, the bootloader is implemented as an obfuscated VBScript script, which is launched using msscriptcontrol. Distributed under the guise of the Adobe Reader application.

Launched, the script checks the local Windows settings for the presence of the Portuguese language ("1046") and also looks for the virtual machine in the environment:


   Select Case sBIOSVersion
        Case "VRTUAL - 1000831"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 Beta or RC0"
        CCase "VRTUAL - 5000805", "BIOS Date: 05/05/08 20:35:56  Ver: 08.00.02"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 RTM"
        Case "VRTUAL - 3000919"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 R2"
        Case "A M I  - 2000622"
            bIsVM = true
            sVMPlatform = "VS2005R2SP1 or VPC2007"
        Case "A M I  - 9000520"
            bIsVM = true
            sVMPlatform = "VS2005R2"
        Case "A M I  - 9000816", "A M I  - 6000901"
            bIsVM = true
            sVMPlatform = "Windows Virtual PC"
        Case "A M I  - 8000314"
            bIsVM = true
            sVMPlatform = "VS2005 or VPC2004"
        End Select
    ElseIf sModel = "VMware Virtual Platform" then
        ' VMware detected
        sVMPlatform = "VMware"
        bIsVM = true
    ElseIf sModel  = "VirtualBox" then
        ' VirtualBox detected
        bIsVM = true
        sVMPlatform = "VirtualBox"
    Else
        ' This computer does not appear to be a virtual machine.
    End if

Connected with the managing server, which address is encrypted in the body of the Trojan, the banker downloads from there two ZIP-archives with obfuscated dynamic libraries created in the Delphi development environment. The second library contains the main malicious functions of the Trojan.

When users open Internet bank sites of a number of Brazilian financial institutions in the browser window, Trojan.PWS.Banker1.28321 imperceptibly substitutes the web page, showing the victim a fake authentication form and in some cases requests an authorization verification code from the SMS message received from the bank. This information is transmitted by the Trojan to cybercriminals.

News about the Trojan

Recommandations pour le traitement

  1. Si le système d'exploitation peut être démarré (en mode normal ou en mode sans échec), téléchargez Dr.Web Security Space et lancez un scan complet de votre ordinateur et de tous les supports amovibles que vous utilisez. En savoir plus sur Dr.Web Security Space.
  2. Si le démarrage du système d'exploitation est impossible, veuillez modifier les paramètres du BIOS de votre ordinateur pour démarrer votre ordinateur via CD/DVD ou clé USB. Téléchargez l'image du disque de secours de restauration du système Dr.Web® LiveDisk ou l'utilitaire pour enregistrer Dr.Web® LiveDisk sur une clé USB, puis préparez la clé USB appropriée. Démarrez l'ordinateur à l'aide de cette clé et lancez le scan complet et le traitement des menaces détectées.
Version démo gratuite

Pour 1 mois (sans enregistrement) ou 3 mois (avec enregistrement et remise pour le renouvellement)

Télécharger Dr.Web

Par le numéro de série

Veuillez lancer le scan complet du système à l'aide de Dr.Web Antivirus pour Mac OS.

Version démo gratuite

Pour 1 mois (sans enregistrement) ou 3 mois (avec enregistrement et remise pour le renouvellement)

Télécharger Dr.Web sur le site

Par le numéro de série

Veuillez lancer le scan complet de toutes les partitions du disque à l'aide de Dr.Web Antivirus pour Linux.

Version démo gratuite

Pour 1 mois (sans enregistrement) ou 3 mois (avec enregistrement et remise pour le renouvellement)

Télécharger Dr.Web

Par le numéro de série

  1. Si votre appareil mobile fonctionne correctement, veuillez télécharger et installer sur votre appareil mobile Dr.Web pour Android. Lancez un scan complet et suivez les recommandations sur la neutralisation des menaces détectées.
  2. Si l'appareil mobile est bloqué par le Trojan de la famille Android.Locker (un message sur la violation grave de la loi ou la demande d'une rançon est affiché sur l'écran de l'appareil mobile), procédez comme suit:
    • démarrez votre Smartphone ou votre tablette en mode sans échec (si vous ne savez pas comment faire, consultez la documentation de l'appareil mobile ou contactez le fabricant) ;
    • puis téléchargez et installez sur votre appareil mobile Dr.Web pour Android et lancez un scan complet puis suivez les recommandations sur la neutralisation des menaces détectées ;
    • Débranchez votre appareil et rebranchez-le.

En savoir plus sur Dr.Web pour Android

Editeur russe des solutions antivirus Dr.Web

Expérience dans le développement depuis 1992

Les internautes dans plus de 200 pays utilisent Dr.Web

L'antivirus est fourni en tant que service depuis 2007

Support 24/24

© Doctor Web
2003 — 2019

Doctor Web - éditeur russe des solutions antivirus Dr.Web. Doctor Web développe les produits Dr.Web depuis 1992.

333b, Avenue de Colmar, 67100 Strasbourg