VERSIONER AV PSIXBOT

Återutgiven av Platon

anhängare: 0

Läsningstid: 4 minuter

Introduktion av PSIXBOT:

PsiXBot är datastjällande trojan som kan skörda konfidentiella data och lösenord från offrets dator. Det kan stjäla kakor, extrahera inloggningar / lösenord från applikationer som Firefox och Microsoft Outlook, spela offrets tangenttryckningar, tillåta brottslingar att fjärrvisa / interagera med offrets skrivbord och kan till och med lägga till offrets dator till ett botnet. Det sprids oftast via infekterade e-postbilagor, via onlineannonser som innehåller botten och via andra socialtekniska metoder.

Den ursprungliga PsixBot-skadlig programvaran dök upp i november 2017 men genomgick en betydande utveckling innan den anlände i beta-format 2019. Den har sedan vidareutvecklats och står för närvarande till version 1.1.0.4 i februari 2020:

VERSIONER AV PSIXBOT PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

PsixBot genererades i .NET framework. Den här bloggen tar dig igenom de olika iterationerna av PsixBot för att illustrera hur onlinebrottslingar ständigt uppdaterar sina malware för att förbättra dess prestanda och funktioner.

Uppförande av PsixBot

PsixBot ändrar inställningarna för systemcertifikat, vilket ger det praktiskt taget obegränsade användarrättigheter på värdmaskinen:

Nycklar tillagda:

KEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

Tillagda värden:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248Blob: 02 00 00 ……..

Filer tillagda:

C: Dokument och inställningar Administratörsansökningsdata

MicrosoftSystemCertificatesMyCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

Beta 1.0.0

Den första versionen av PsixBot som behandlas i denna blogg är Beta 1.0.0 med kärnklass 11. Varje klass har sin individuella uppgift. Följande grundklasser används i alla versioner av PsixBot:

Servertalk - används för att initiera den globala variabeln, skapa anslutningen till moderskeppsservern och skicka resultat fram och tillbaka.
RunInMemory - används för att faktiskt köra filen.
sysinfo - används för att få information om användarens system, inklusive antivirusnamn, CPU, Windows-version, användartyp och användarrättigheter.
CatchEndSession - används för att skapa dolda autoruns.
Ta bortAttrib – används för att döda systemets antivirusprogram, Windows Utforskaren och alla systemfelvarningar.
IsAdmin - används för att anta medlemskap i administratörsgruppen.
IsVm - upptäcker närvaron av virtuella maskiner.
ResolveBit - används för att lösa DNS-förfrågningar från användaren.
RC4 - algoritmen som används för att kryptera och dekryptera data.
installera - installerar botfilen och ställer in filens säkerhets- och uppdateringsmoduler.

VERSIONER AV PSIXBOT PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

version 1.0.2

Beta 1.0.2 behöll den grundläggande klassfunktionaliteten i den första versionen, men döpte om några av klasserna enligt följande:

ServerTalk - bytt namn till CpWorker
RunInMemory - bytt namn till MemoryModulesWorker
SysInfo - bytt namn till SysHelper

... och lade till följande klass:

DNSWorker - används för att få värdposten och pinga värden för att kontrollera om den är uppe eller inte.

VERSIONER AV PSIXBOT PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

version 1.1

Version 1.1 behöll återigen samma klassstruktur som sin föregångare men lägger till följande uppgift i funktionslistan:

Forfg - används för att få sökvägen till temp-variabeln, ställa in DLL-katalogen och skriva den till en .dat-fil:

VERSIONER AV PSIXBOT PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

version 1.1.0.2

Version 1.1.0.2 såg en uppdatering där FORFG funktionen kombinerades med den andra funktionslistan. Alla andra klasser och aktiviteter förblev desamma.

VERSIONER AV PSIXBOT PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.