Trojanac Zberp: čudovišni potomak Trojanaca Zeus VM i Carberp

Opisi virusa, 27.05.2014, 08:47 AM

Trojanac Zberp: čudovišni potomak Trojanaca Zeus VM i Carberp

Istraživači firme Trusteer nedavno su otkrili novog Trojanca koji je korišćen u napadima na korisnike više od 450 finansijskih institucija širom sveta, većinom u SAD, Velikoj Britaniji i Australiji.

Nova pretnja nazvana Zberp istraživačima je izgledala kao Zeus VM, nova verzija široko korišćenog Trojanca Zeus, koja je otkrivena u februaru i koja se od drugih verzija poznatog bankarskog Trojanca razlikovala pa tome što su njeni autori koristili steganografiju da bi sakrili konfiguracijske podatke unutar slika. Međutim, istraživači su primetili da se novi malver ponaša i kao malveri iz familije Trojanaca Carberp.

Analiza malvera otkrila je istraživačima Trusteera da je Zberp Trojanac nastao iz procurelih izvornih kodova Trojanaca Zeus i Carberp.

Kod Trojanca Zeus, verovatno najpoznatijeg bankarskog Trojanca, procureo je 2011. godine, i već ranije su ga kriminalne grupe koristile, prilagođavajući ponašanje ovog malvera svojim potrebama, ali i dodavanjem novih funkcionalnosti. Izvorni kod Trojanca Carberp ponuđen je na prodaju prošle godine.

Novi Trojanac omogućava sajber kriminalcima da dođu do osnovnih informacija o zaraženim računarima, kao što su imena računara i IP adrese, da prave snimke ekrana koje malver potom šalje serveru koji je pod kontrolom kriminalaca. Malver krade podatke unete u web forme, SSL sertifikate i podatke o FTP i POP3 nalozima. Zberp ima i neke opcionalne funkcionalnosti koje omogućavaju ubacivanje lažnog sadržaja u otvorene web stranice, MITB/MITM napade i VNC/RDP konkecije.

Zberp kombinuje i neke tehnike izbegavanja detekcije koje su nasleđene od Trojanaca Zeus i Carberp.

“S obzirom da je izvorni kod Trojanca Carberp procureo u javnost, imali smo teoriju da sajber kriminalcima neće trebati mnogo vremena da iskombinuju izvorni kod Carberp Trojanca sa kodom Zeusa i da stvore zlo čudovište”, kažu istraživači firme Trusteer. “To je bila samo teorija, ali pre nekoliko nedelja pronašli smo uzorke botneta Andromeda koji preuzimaju ovu hibridnu zver.”

Zberp koristi i neke druge tehnike koje je pozajmio od malvera ZeusVM da bi osigurao prisutvo na računaru i izbegao detekciju. Malver briše svoj registry ključ kada se pokrene i vraća ga nazad kada otkrije da se sistem gasi.

Zberp koristi SSL, da bi osigurao svoje komunikacije sa serverom za komandu i kontrolu i sprečio da ga otkriju proizvodi za mrežnu bezbednost.

Istraživači su upozorili da je Trojanac Zberp u trenutku kada je prvi put otkriven uspeo da izbegne detekciju većine antivirusnih rešenja.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Prošla nedelja počela je loše za veći broj nemačkih kompanija koje je blokirao malver koji briše podatke i koji je u ime onih koji su ga širili... Dalje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware koji inficira Android uređaje širi se slanjem tekstualnih poruka koje sadrže maliciozne linkove svima sa liste kontakata koja se na... Dalje

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Napadači su kreirali lažni Office 365 sajt koji distribuira trojanca TrickBot koji krade lozinke. Trojanac je sakriven u lažnim ažuriranjima za Ch... Dalje

25 miliona Android uređaja zaraženo malverom Agent Smith

25 miliona Android uređaja zaraženo malverom Agent Smith

Istraživači iz firme Check Point otkrili su novi malver za Android uređaje koji je nazvan "Agent Smith". Agent Smith je neprimetno zarazio oko 25 m... Dalje

Novi malver za Mac se širi preko rezultata Google pretrage

Novi malver za Mac se širi preko rezultata Google pretrage

Istraživač Džošua Long iz kompanije Intego otkrio je novi malver koji inficira Mac računare. Malver nazvan OSX/CrescentCore, je trojanac, a prime... Dalje