Versiuni de PsixBot | Tipuri de comportament PsixBot

Timp de citit: 4 minute

Introducere PSIXBOT:

PsiXBot este un troian de furt de date capabil să colecteze date și parole confidențiale de pe computerul unei victime. Poate fura cookie-uri, extrage date de conectare/parole din aplicații precum Firefox și Microsoft Outlook, poate înregistra apăsările de taste ale victimei, permite criminalilor să vizualizeze/interacționeze de la distanță cu desktopul victimei și poate chiar adăuga computerul victimei la o rețea botnet. Cel mai adesea este răspândit prin atașamentele de e-mail infectate, prin reclame online care conțin botul și prin alte metode de inginerie socială.

Malware-ul original PsixBot a apărut în noiembrie 2017, dar a suferit o dezvoltare semnificativă înainte de a ajunge în format beta în 2019. De atunci a fost dezvoltat în continuare și se află în prezent la versiunea 1.1.0.4 în februarie 2020:

PsixBot a fost generat în .NET framework. Acest blog vă duce prin diferitele iterații ale PsixBot pentru a ilustra modul în care infractorii online își actualizează constant malware pentru a-și îmbunătăți performanța și caracteristicile.

Comportamentul lui PsixBot

PsixBot modifică setările certificatului de sistem, ceea ce îi oferă drepturi de acces practic nelimitate de utilizator pe mașina gazdă:

Chei adăugate:

KEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

Valori adaugate:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248Blob: 02 00 00 ……..

Fișiere adăugate:

C:Documente și setări Administrator Date aplicații

MicrosoftSystemCertificatesMyCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

Beta 1.0.0

Prima versiune de PsixBot abordată în acest blog este Beta 1.0.0 cu clasa de bază 11. Fiecare clasă are sarcina sa individuală. Următoarele clase de bază sunt utilizate în toate versiunile de PsixBot:

• Servertalk – folosit pentru a inițializa variabila globală, pentru a crea conexiunea cu serverul nava-mamă și pentru a trimite rezultate înainte și înapoi.
• RunInMemory – folosit pentru a executa efectiv fișierul.
• sysinfo – folosit pentru a obține informații despre sistemul utilizatorului, inclusiv numele antivirus, CPU, versiunea Windows, tipul de utilizator și permisiunile utilizatorului.
• CatchEndSession – folosit pentru a crea autorunări ascunse.
• DeleteAttrib – folosit pentru a distruge sistemul program antivirus, Windows Explorer și orice alerte de eroare de sistem.
• IsAdmin – folosit pentru a-și asuma calitatea de membru al grupului de administrare.
• IsVm – detectează prezența oricăror mașini virtuale.
• ResolveBit – folosit pentru a rezolva cererile DNS de la utilizator.
• RC4 – algoritmul utilizat pentru criptarea și decriptarea datelor.
• Instala – instalează fișierul bot și setează modulele de securitate și actualizare ale fișierului.

versiune 1.0.2

Beta 1.0.2 a păstrat funcționalitatea de bază a clasei din prima versiune, dar a redenumit unele dintre clase după cum urmează:

• ServerTalk – redenumit ca CpWorker
• RunInMemory – redenumit ca MemoryModulesWorker
• SysInfo - redenumit ca SysHelper

… și a adăugat următoarea clasă:

• DNSWorker – folosit pentru a obține intrarea gazdă și pentru a da ping gazdei pentru a verifica dacă este sau nu activată.

versiune 1.1

Versiunea 1.1 a păstrat din nou aceeași structură de clasă ca și predecesorul său, dar a adăugat următoarea sarcină la lista de caracteristici:

• Forfg – folosit pentru a obține calea către variabila temp, setați directorul DLL și scrieți-l într-un fișier .dat:

versiune 1.1.0.2

Versiunea 1.1.0.2 a văzut o actualizare prin care FORFG caracteristica a fost combinată cu cealaltă listă de caracteristici. Toate celelalte clase și activități au rămas aceleași.

versiune 1.1.0.4

Din nou, clasele de bază au rămas aceleași ca versiunea anterioară, dar cu adăugarea următoarei clase importante

• GzipWebClient – folosit pentru a decomprima orice fișier Gzip descărcat de bot:

Actualizări ale listei de funcții

Threader – Invocați funcția thread folosită pentru a rula fișierul și rulați-l în memorie (RunInMemory).

Cheia Bot - PsixBot are un cod comun, hard-codetasta d în toate versiunile:

Activități de rețea– PsixBot folosește inițial DNS Google, apoi comunică ulterior cu propriul DNS:

Module de bază pentru fiecare versiune

FeautersList per versiune

Trafic de rețea

PsixBot se conectează inițial la Google DNS, apoi se conectează la propriul server DNS la greentowns.hk:

193.32.188.136 (greentowns.hk)

185.98.87.59 (greentowns.hk)

IOC

a85e280e24099a2ffb5ea6efbe3fcb6fbc0c8cfa                   09-04-2019        Beta 1.0.0

0956cec17f1a8801042b8e6628f54e3156d05918              26-08-2019        1.0.2

4d3b1bd14ca92609fa8d1a536d814fd0d54c5666              03-02-2020        1.1

a16c7263a36a235db8c71477be3f2442a8a5f894              04-02-2020        1.1.0.2

1e29be939667354a8fe9477179c6851622118e23             12-02-2020        1.1.0.4

193.32.188.136(greentowns.hk)

185.98.87.59(greentowns.hk)

INCEPE O PROBĂ GRATUITĂ OBȚINEȚI-ȚI GRATUIT SCORECARDUL DE SECURITATE INSTANTANALĂ

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• PlatoData.Network Vertical Generative Ai. Împuterniciți-vă. Accesați Aici.
• PlatoAiStream. Web3 Intelligence. Cunoștințe amplificate. Accesați Aici.
• PlatoESG. carbon, CleanTech, Energie, Mediu inconjurator, Solar, Managementul deșeurilor. Accesați Aici.
• PlatoHealth. Biotehnologie și Inteligență pentru studii clinice. Accesați Aici.
• Sursa: https://blog.comodo.com/comodo-news/versions-of-psixbot/