- 111fc5ec15d2c5f8c2e2571311bec62319741081 (pyinstaller)
- 33fc645890ad71f9cbeb4ed3e34bdf53e59e92b1 (python script, packed)
Троянец, написанный на языке Python. Загружался на инфицированные компьютеры троянцем BackDoor.Crane.1 при проведении целевой атаки на крупнейшие российские предприятия, занимающиеся производством портальных и грузоподъемных кранов, а также сопутствующего оборудования. Бэкдор упакован с использованием pyinstaller, код обфусцирован и дополнительно упакован.
После распаковки pyinstaller код вредоносного скрипта имеет следующий вид:
import pkg_resources;import sys as cDxaCtkRWKmOpQ;import time as ixffpzzULZK;import subprocess as MUnXVz;import requests as mNMzIOw;import ftplib as UYFMjbSekhlu;from base64 import b64decode as ThBmw;import uuid as EMeGYfWb;import io as PmbDbkOzZTc;import os as ILCHYx;from base64 import b64decode as sxfoHNF;from Crypto.Cipher import AES as HBmHA;import shutil as MlnyFfofyOh;from PIL import ImageGrab as ouJAno
exec(ThBmw("ZXhlYyhIQm1IQ..."))Для распаковки сценария последовательно вызываются b64decode и exec. Следующий слой кода дополнительно зашифрован с использованием алгоритма AES. Расшифрованный код обфусцирован.
Троянец обменивается с управляющим сервером информацией с использованием протокола HTTP. Данные отправляются POST-запросом и имеют следующий вид:
compid=<id>&nat=nat
где compid – уникальный идентификатор троянца, полученный вызовом функции uuid.getnode().
Если в ответе от сервера есть строка "\xa9:\xa9", троянец извлекает из ответа команду и аргументы.
Вредоносная программа может выполнять следующие команды:
- получить список файлов и каталогов по заданному пути;
- выполнить произвольные команды cmd;
- загрузить на указанный сервер файлы с использованием протокола http;
- загрузить на указанный сервер файлы с использованием протокола ftp;
- скачать на инфицированный компьютер произвольные файлы;
- создать и передать на управляющий сервер снимок экрана;
- удалить указанные файлы;
- прекратить работу указанных процессов;
- копировать файлы;
- передать на управляющий сервер список запущенных процессов, информацию об операционной системе и дисках зараженного ПК;
- завершить по команде собственную работу.
