miércoles, 19 de diciembre de 2012

Qhost  - Falso Mensaje Privado de Facebook - Con Algoritmo TripleDES II


En estos días se volvió a propagar este troyano Qhost, el cual esta programado en VBasic y utiliza TDES para ocultar strings. Actualmente afecta a entidades del Perú.

Ver caso del 9-10




Falso Correo enviado.




Icono del Malware





Links:

hxxp://www.batikpekalongan.info/wp-content/Mensaje_facebook.php
hxxp://www.batikpekalongan.info/wp-content/mensaje_facebook.exe



Análisis en V.T. con un indice medio/alto de detecciones, por lo visto alguien lo califico como inofensivo...





Strings codificados en B64 y su correcta decodificación (ver caso 9-10-12 donde fue explicada la rutina)

  loc_402B4C: stfld key (clave del desencriptor)


"ABCDEFGHIJKLMÑOPQRSTUVWXYZabcdefghijklmnñopqrstuvwxyz1234567890"





ldstr "FNhFufDVv1iqOFp7J6yFMSfDG08mcILw" 
C:\\Mis Documentos

ldstr "xqH/CgwW4AAeXCaBE9liAhubB1hmz3GdGH2jzjZrkzlHMH+ncLXVywDvXeEKj/xI"
C:\\Windows\\System32\\drivers\\etc\\hosts

ldstr "FNhFufDVv1iqOFp7J6yFMW2eEUdX+Ou6AlML4KNlMxS5N7/dUEPVJA=="
C:\\Mis Documentos\\Documento1.docx

ldstr "xqH/CgwW4AAeXCaBE9liAhubB1hmz3GdGH2jzjZrkzk0J3nRc+zp3Y5kKeyoYH/T"
C:\\Windows\\System32\\drivers\\winlogon.exe

ldstr "gLxKtNUXp2SE69TZFporYqt8H8rpp35VwskE1WxysLvV52VJczsB/A=="
http://www.grosirbatik.org/robots.txt

ldstr "SQqsp2xA8QYayue/INup3QcFAjZK7cHILBIHfzGjYjCMWK1wE+grdXJzA+oGdpuC507V+GHnzDOQbcBasu6mMg=="
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System

ldstr "mP26pvLtpbyjGT2awz+SB4o1+on+xE5lsBjcs9xqIpg="
ConsentPromptBehaviorAdmin

ldstr "ESd7ywzEl7cI/VvhtqAhYA==" 
EnableLUA

ldstr "8scjkqqBETyJhtl6RkHzMRs7loghl/Q5"
PromptOnSecureDesktop

ldstr "SQqsp2xA8QYayue/INup3QcFAjZK7cHILBIHfzGjYjCMWK1wE+grdTln9LqoZDarMU7sV2sp2uo="
SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

ldstr "D+jGpmVoxjGBFGfoJGeVhYQsu0CZG5NS"
Windows Defender



Cadenas no encriptadas....




Pharming: hxxp://www.grosirbatik.org/robots.txt







muestra: http://www.mediafire.com/?d96dr3col0dcdcw

password = infected


 Desencriptor  de strings para este caso: http://www.mediafire.com/?rih4c9dwiii8opl

sin password



Eso es todo por el momento.


@Dkavalanche 2012              esperando el fin del mundo.........





No hay comentarios:

Android: BankBot. Hace un tiempo se filtro el fuente de un Bankbo t para android y se masifico bastante, creo que muchos lo han lanzado pa...