Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.PWS.Banker1.28321

Добавлен в вирусную базу Dr.Web: 2018-09-19

Описание добавлено:

SHA1:

Downloader:

  • 0bc9a778a28ba6abba92330d750fc9769484a9a5
    e9b510a2c58638d00b8a4af7e4f49e8d3a52bcd3
    f2f2eb334719ef6b7a2a522a7eac6f33ee7c810d
    f4b49b874e3715926eaf56d574408a63353b2753
    f10e8e3362834843c9df8bdd5316912c8185e547
    f494bc28a86332db98efbb049b9f9981ef24fd8b
    f5846e4990aa5af2f7e1268223b1710415f11459
    fb64604fbbbdfa888aeb090df7008c15b2e25fe6
    fe2924d1e3d5215273e672e1ea4bb2b1ee57e5e8
        

VBScript

  • 9dbc627eae65c147f996ef2a524ed89603ade13c
    b8b4fc9efccbeddc39ee0d825ed2e3037ee85efc
    c71e5f572a659774ab0c0a52da40013709408823
        

Dynamic libraries:

  • 2f7be7a0649288a9bb72fad0e5fb2a38031edf9b
    6c83a4a362c730066c63986369213ce05c666e35
    5fa08c5e4595040c89540ef1194d53916ba5820c
    7c5f3e935bfc1deb0460b9c9649cf75568cdbb71
    8611f08c570a1dcf42b7d2961a3757367eb650a0
    f18a4ed258540e3b0da4c3d66d144317a6f23066
        

The banking Trojan for Windows, targeted to Brazilian credit organizations customers. Written in .NET, the bootloader is implemented as an obfuscated VBScript script, which is launched using msscriptcontrol. Distributed under the guise of the Adobe Reader application.

Launched, the script checks the local Windows settings for the presence of the Portuguese language ("1046") and also looks for the virtual machine in the environment:


   Select Case sBIOSVersion
        Case "VRTUAL - 1000831"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 Beta or RC0"
        CCase "VRTUAL - 5000805", "BIOS Date: 05/05/08 20:35:56  Ver: 08.00.02"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 RTM"
        Case "VRTUAL - 3000919"
            bIsVM = true
            sVMPlatform = "Hyper-V 2008 R2"
        Case "A M I  - 2000622"
            bIsVM = true
            sVMPlatform = "VS2005R2SP1 or VPC2007"
        Case "A M I  - 9000520"
            bIsVM = true
            sVMPlatform = "VS2005R2"
        Case "A M I  - 9000816", "A M I  - 6000901"
            bIsVM = true
            sVMPlatform = "Windows Virtual PC"
        Case "A M I  - 8000314"
            bIsVM = true
            sVMPlatform = "VS2005 or VPC2004"
        End Select
    ElseIf sModel = "VMware Virtual Platform" then
        ' VMware detected
        sVMPlatform = "VMware"
        bIsVM = true
    ElseIf sModel  = "VirtualBox" then
        ' VirtualBox detected
        bIsVM = true
        sVMPlatform = "VirtualBox"
    Else
        ' This computer does not appear to be a virtual machine.
    End if

Connected with the managing server, which address is encrypted in the body of the Trojan, the banker downloads from there two ZIP-archives with obfuscated dynamic libraries created in the Delphi development environment. The second library contains the main malicious functions of the Trojan.

When users open Internet bank sites of a number of Brazilian financial institutions in the browser window, Trojan.PWS.Banker1.28321 imperceptibly substitutes the web page, showing the victim a fake authentication form and in some cases requests an authorization verification code from the SMS message received from the bank. This information is transmitted by the Trojan to cybercriminals.

News about the Trojan

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке