Dr.Web — библиотека бесплатных утилит

BackDoor.Dande.2 заразил 400 аптек на юге России

14 апреля 2014 года

Компания «Доктор Веб» уже сообщала о распространении узкоспециализированной троянской программы BackDoor.Dande, предназначенной для хищения информации из приложений, используемых аптеками и фармацевтическими фирмами для закупки медикаментов. Вирусописатели модифицировали данного троянца, немного изменив его архитектуру. Специалисты компании «Доктор Веб» установили, что эта вредоносная программа инфицировала компьютеры порядка 400 аптек, расположенных преимущественно в южных регионах России. С помощью BackDoor.Dande.2 злоумышленники похищают информацию об объемах заказов и ценах закупаемых этими организациями лекарств.

Напомним, что троянцы семейства BackDoor.Dande заражают компьютеры, работающие под управлением Microsoft Windows. Первая версия этой вредоносной программы была предназначена для хищения информации из нескольких используемых в фармацевтической индустрии «систем электронного заказа», таких как специализированная конфигурация «Аналит: Фармация» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторых других. Обновленная версия BackDoor.Dande, получившая наименование BackDoor.Dande.2, ориентирована на сбор данных только из приложения «АИАС ИНПРО-ФармРынок» производства компании «Информационные Технологии».

В составе BackDoor.Dande.2 имеется два драйвера — один из них, размером порядка 8 КБ, обычно хранится в файле с именем rpcssprt.sys или isaPnpPrt.sys, его основное предназначение — загрузка в память инфицируемого компьютера другого драйвера, имеющего то же имя, но другое расширение — .cfg. Если драйверу удается открыть файл с полезной нагрузкой, он расшифровывается, распаковывается и загружается в память. Оба файла имеют цифровую подпись, зарегистрированную на имя SPВ Group OOO.

При этом в свойствах драйвера isaPnpPrt.sys указано, что этот файл якобы является драйвером ATAPI производства Microsoft Corporation. В целом складывается впечатление, что данный драйвер был приобретен вирусописателями у сторонних разработчиков в качестве средства для загрузки в память неподписанных драйверов.

Основной драйвер BackDoor.Dande.2 в различных модификациях используется множеством других вредоносных программ – например, Trojan.Spambot, BackDoor.BlackEnergy и BackDoor.Bulknet. В качестве основы для этого компонента был взят руткит Blackreleaver. Драйвер создает в системе новое виртуальное устройство, которое реализует различные сервисы, например, удаление по команде злоумышленников вредоносного драйвера с диска и связанных с ним данных из системного реестра, получение из реестра значения ID троянца, поднятие привилегий для текущего процесса (применяется перед запуском загруженных из сети файлов) и т. д. Необходимые для своей работы параметры вредоносный драйвер сохраняет в системном реестре Windows. Например, если он представлен в виде файла с именем isaPnpPrt, данные будут размещены в ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\isaPnpPrt. Функционал этого драйвера, по сравнению с версиями, использовавшимися в других вредоносных программах, сильно ограничен: фактически, он реализует только одну основную задачу — встраивание полезной нагрузки в процессы explorer.exe и svchost.exe. Часть изначально реализованных в драйвере возможностей до сих пор присутствует в его архитектуре, но никак не используется.

Механизм установки драйверов реализован в модуле pexec.dll — именно он расшифровывает полезную нагрузку из своего тела, сохраняет драйверы на диске, вносит соответствующие изменения в системный реестр Windows и запускает драйвер с использованием функции NtLoadDriver.

Другой модуль, реализованный в виде динамической библиотеки с именем fmauto.dll или fmauto2.dll, — предназначен собственно для хищения информации из системы электронного заказа медикаментов. Этот компонент извлекает из программы-клиента файл со сведениями о закупках лекарств, формирует архив, устанавливает для него пароль и отправляет к себе на сервер. Архив может включать содержимое следующего вида:


info.txt

Аптека-******* г.Ростов-на-Дону.csv

*******-Фарма г.С-Петербург.csv

******-Ростов.csv

***** г.Волгоград.csv

**** г.Краснодар.csv

***** (*****фармация) Ростовский филиал.csv

*** ****** г.Ростов-на-Дону.csv

Файл info.txt обычно содержит сведения об инфицированном компьютере, например:


Client Name: ООО "****-Фарм"

Date: 02.04.2014

OS Version: Windows XP

Client Version: 1.5.160.0

Module Version: 4.3

COMPNAME: ***SRV

Date3: 02.04.2014

PC TIME: 02.04.2014 13:11:20

Каждый из файлов с расширением .CSV, в свою очередь, включает данные о закупках медикаментов и расценках на различные препараты, например:


Date: 02.04.2014

Firm: Аптека-******* г.Ростов-на-Дону

Скидки-наценки: Конечные цены!

Код;Цена;Минимальная цена;Остаток;

27484;204,36;9 месяцев Омегамама капс. 0.7г N30;Отечественные лекарства Польша;166,19;9;

29772;1343,3;Авандамет табл. п.п.о. 2мг/500мг N56;GlaxoSmithKline Traiding Испания;1181,91;5;

21385;310,45;Адвантан мазь 0.1% туба 15г;Bayer Consumer Италия;273,1;347;

26518;59,28;Адрианол капли назальн. фл.-кап. 10мл;Actavis Сербия;52,53;93;

15955;26,59;Азитромицин капс. 250мг N6;Вертекс ЗАО Россия;23,8;3530;

33329;112,41;Азитромицин табл. п.п.о 500 мг N3;Березовский фармацевтический з Россия-Македония;99,3;269;

…

В составе троянца имеется еще несколько модулей, реализующих различные функции, например, библиотека exist.dll, предназначенная для борьбы с различными неполадками в работе вредоносной программы.

Согласно информации, собранной специалистами компании «Доктор Веб» в процессе анализа BackDoor.Dande.2, за последнее время эта вредоносная программа заразила компьютеры более 400 аптек, большая часть которых расположена в Ростове-на-Дону и Ростовской области. С этих рабочих станций похищается и передается злоумышленникам вся информация о заказах лекарств и актуальных закупочных ценах. Компания «Доктор Веб» рекомендует фармацевтическим компаниям и аптекам проверить используемые ими компьютеры на предмет наличия данной вредоносной программы, а также сообщает, что для пользователей Антивируса Dr.Web BackDoor.Dande.2 угрозы не представляет.