รุ่นของ PSIXBOT

เผยแพร่ซ้ำโดยเพลโต

ผู้ติดตาม: 0

เวลาอ่านหนังสือ: 4 นาที

บทนำของ PSIXBOT:

PsiXBot เป็นโทรจันที่ขโมยข้อมูลซึ่งสามารถรวบรวมข้อมูลที่เป็นความลับและรหัสผ่านจากคอมพิวเตอร์ของเหยื่อได้ มันสามารถขโมยคุกกี้ ดึงข้อมูลการเข้าสู่ระบบ/รหัสผ่านจากแอปพลิเคชันเช่น Firefox และ Microsoft Outlook บันทึกการกดแป้นพิมพ์ของเหยื่อ อนุญาตให้อาชญากรดู/โต้ตอบกับเดสก์ท็อปของเหยื่อจากระยะไกล และสามารถเพิ่มคอมพิวเตอร์ของเหยื่อไปยังบ็อตเน็ตได้ ส่วนใหญ่มักจะแพร่กระจายผ่านไฟล์แนบอีเมลที่ติดไวรัส ผ่านโฆษณาออนไลน์ที่มีบอท และผ่านวิธีการทางวิศวกรรมทางสังคมอื่นๆ

มัลแวร์ PsixBot ดั้งเดิมปรากฏขึ้นในเดือนพฤศจิกายน 2017 แต่ได้รับการพัฒนาที่สำคัญก่อนที่จะมาถึงรูปแบบเบต้าในปี 2019 นับตั้งแต่นั้นมาได้รับการพัฒนาเพิ่มเติมและปัจจุบันอยู่ที่เวอร์ชัน 1.1.0.4 ในเดือนกุมภาพันธ์ 2020:

รุ่นของ PSIXBOT PlatoBlockchain Data Intelligence ค้นหาแนวตั้ง AI.

PsixBot ถูกสร้างขึ้นใน .NET framework บล็อกนี้จะนำคุณผ่านการทำซ้ำต่างๆ ของ PsixBot เพื่อแสดงให้เห็นว่าอาชญากรออนไลน์อัปเดตพวกเขาอย่างต่อเนื่องอย่างไร มัลแวร์ เพื่อปรับปรุงประสิทธิภาพและคุณสมบัติของมัน

พฤติกรรมของ PsixBot

PsixBot เปลี่ยนการตั้งค่าใบรับรองระบบ ซึ่งทำให้สิทธิ์การเข้าถึงของผู้ใช้บนเครื่องโฮสต์แทบไม่จำกัด:

คีย์เพิ่ม:

KEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

มูลค่าเพิ่ม:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesTrustedPeopleCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248Blob: 02 00 00 ……..

ไฟล์ที่เพิ่ม:

C: เอกสารและการตั้งค่าผู้ดูแลระบบข้อมูลแอปพลิเคชัน

MicrosoftSystemCertificatesMyCertificates636D2838EB7A7F3A8E6B6F7CD035375E7E704248

1.0.0 เบต้า

PsixBot รุ่นแรกที่กล่าวถึงในบล็อกนี้คือ Beta 1.0.0 พร้อมคลาสหลัก 11 แต่ละคลาสมีภารกิจเฉพาะของตัวเอง คลาสพื้นฐานต่อไปนี้ใช้ใน PsixBot ทุกเวอร์ชัน:

เซิฟเวอร์ทอล์ค – ใช้เพื่อเริ่มต้นตัวแปรส่วนกลาง สร้างการเชื่อมต่อกับเซิร์ฟเวอร์แม่ และส่งผลกลับไปกลับมา
เรียกใช้ในหน่วยความจำ – ใช้ในการรันไฟล์จริง
ซิสอินโฟ – ใช้เพื่อรับข้อมูลเกี่ยวกับระบบของผู้ใช้ รวมทั้งชื่อโปรแกรมป้องกันไวรัส, CPU, เวอร์ชันของ Windows, ประเภทผู้ใช้ และการอนุญาตของผู้ใช้
CatchEndSession – ใช้ในการสร้างการทำงานอัตโนมัติที่ซ่อนอยู่
ลบ Attrib – ใช้เพื่อฆ่าระบบของ ซอฟต์แวร์ป้องกันไวรัส, Windows Explorer และการแจ้งเตือนข้อผิดพลาดของระบบ
เป็นแอดมิน – ใช้เพื่อสมมติสมาชิกของกลุ่มผู้ดูแลระบบ
IsVm – ตรวจจับการมีอยู่ของเครื่องเสมือนใดๆ
แก้ไขบิต – ใช้เพื่อแก้ไขคำขอ DNS จากผู้ใช้
RC4 – อัลกอริธึมที่ใช้ในการเข้ารหัสและถอดรหัสข้อมูล
การติดตั้ง – ติดตั้งไฟล์บอทและตั้งค่าความปลอดภัยของไฟล์และอัปเดตโมดูล