SHA1
- 785f12821bd3a0adb94b277271fa81d1cadd0d8b – RTF (exploit)
- 89b28711270a891b0a04483ca8e2bb967def35bb – chargeur
- 842688f077493d84c0d7127170558eb362bf9016 – installateur
- 7b5be45e9ca77fb091a5bed34860e66ba706e085 – ensemble de logiciels (lmpack1.exe)
- 115d4b6b80096b71d50a4f2c64fbe13bef8d04f9 – ensemble de logiciels (pn_pack1.exe)
Un ensemble de logiciels qui permettent un accès non autorisé à un système infecté pour le gérer à distance. L'ensemble a été diffusé par les malfaiteurs à l'aide de l’exploit Exploit.CVE2012-0158.121 en tant que document RTF, contenant un fichier crypté malveillant. Ce fichier possède une signature numérique valide (comme presque tous les fichiers du package).
Ce fichier représente un installateur en NSIS (Nullsoft Scriptable Install System).
A son lancement, l'installateur recherche la présence de machines virtuelles, de programmes de contrôle et de débogueurs, ainsi que la présence de logiciels de banque en ligne de certaines banques russes.
*ICPortalSSL *sib.taatta.net *isfront.priovtb.com *ISAPIgate.dll *bsi.dll *PortalSSL *IIS-Gate.dll *beta.mcb.ru *ibank *ibrs *iclient *e-plat.mdmbank.com *sberweb.zubsb.ru *ibc *elbrus *i-elba *clbank.minbank.ru *chelindbank.ru/online/ *uwagb *wwwbank *dbo *ib.Si toutes les recherches sont positives, l'installateur télécharge depuis un serveur distant et lance sur l'ordinateur infecté un autre installateur en NSIS (Nullsoft Scriptable Install System) avec le nom install.cab, qui contient les fichiers suivants :
- setup.bin - archive 7z
- setup1.bin - archive 7z
- 7za.exe
Cet installateur extrait les fichiers exécutables protégés par mot de passe et les lance.
setup.bin:
- lmpack1.exe
- pn_pack1.exe
setup1.bin:
- pskill.exe
Le fichier lmpack.exe représente un installateur en NSI, qui contient les fichiers suivants et le script d'installation :
7za.exe
FileTouch.exe
_??
a32.bin
a64.bin
files0.bin
files1.bin
files2.bin
files4.bin
files5.bin
h1.bin
n32.bin
n64.bin
p1.bin
setup1.binLe fichier pn_pack1.exe représente un installateur, qui contient les fichiers suivants et le script d'installation :
FileTouch.exe
7za.exe
files3.bin
hh.bin
files0.bin
files4.bin
setup.binLa charge utile de cet installateur porte la modification d’un programme shareware appelé Remote Office Manager — les chercheurs de Doctor Web ont détecté au moins 3 versions différentes de ce programme. En interceptant un certain nombre de fonctions système, le malware est capable de masquer les raccourcis de l’outil dans la zone de notification et dans la barre des tâches Windows, afin que l'utilisateur ne puisse pas détecter ce malware.
