BackDoor.Dande.2 заразил 400 аптек на юге России

Напомним, что троянцы семейства BackDoor.Dande заражают компьютеры, работающие под управлением Microsoft Windows. Первая версия этой вредоносной программы была предназначена для хищения информации из нескольких используемых в фармацевтической индустрии «систем электронного заказа», таких как специализированная конфигурация «Аналит: Фармация» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторых других. Обновленная версия BackDoor.Dande, получившая наименование BackDoor.Dande.2, ориентирована на сбор данных только из приложения «АИАС ИНПРО-ФармРынок» производства компании «Информационные Технологии».

В составе BackDoor.Dande.2 имеется два драйвера — один из них, размером порядка 8 КБ, обычно хранится в файле с именем rpcssprt.sys или isaPnpPrt.sys, его основное предназначение — загрузка в память инфицируемого компьютера другого драйвера, имеющего то же имя, но другое расширение — .cfg. Если драйверу удается открыть файл с полезной нагрузкой, он расшифровывается, распаковывается и загружается в память. Оба файла имеют цифровую подпись, зарегистрированную на имя SPВ Group OOO.

При этом в свойствах драйвера isaPnpPrt.sys указано, что этот файл якобы является драйвером ATAPI производства Microsoft Corporation. В целом складывается впечатление, что данный драйвер был приобретен вирусописателями у сторонних разработчиков в качестве средства для загрузки в память неподписанных драйверов.

Основной драйвер BackDoor.Dande.2 в различных модификациях используется множеством других вредоносных программ – например, Trojan.Spambot, BackDoor.BlackEnergy и BackDoor.Bulknet. В качестве основы для этого компонента был взят руткит Blackreleaver. Драйвер создает в системе новое виртуальное устройство, которое реализует различные сервисы, например, удаление по команде злоумышленников вредоносного драйвера с диска и связанных с ним данных из системного реестра, получение из реестра значения ID троянца, поднятие привилегий для текущего процесса (применяется перед запуском загруженных из сети файлов) и т. д. Необходимые для своей работы параметры вредоносный драйвер сохраняет в системном реестре Windows. Например, если он представлен в виде файла с именем isaPnpPrt, данные будут размещены в ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\isaPnpPrt. Функционал этого драйвера, по сравнению с версиями, использовавшимися в других вредоносных программах, сильно ограничен: фактически, он реализует только одну основную задачу — встраивание полезной нагрузки в процессы explorer.exe и svchost.exe. Часть изначально реализованных в драйвере возможностей до сих пор присутствует в его архитектуре, но никак не используется.

Механизм установки драйверов реализован в модуле pexec.dll — именно он расшифровывает полезную нагрузку из своего тела, сохраняет драйверы на диске, вносит соответствующие изменения в системный реестр Windows и запускает драйвер с использованием функции NtLoadDriver.

Другой модуль, реализованный в виде динамической библиотеки с именем fmauto.dll или fmauto2.dll, — предназначен собственно для хищения информации из системы электронного заказа медикаментов. Этот компонент извлекает из программы-клиента файл со сведениями о закупках лекарств, формирует архив, устанавливает для него пароль и отправляет к себе на сервер.

В составе троянца имеется еще несколько модулей, реализующих различные функции, например, библиотека exist.dll, предназначенная для борьбы с различными неполадками в работе вредоносной программы.

Согласно информации, собранной специалистами компании «Доктор Веб» в процессе анализа BackDoor.Dande.2, за последнее время эта вредоносная программа заразила компьютеры более 400 аптек, большая часть которых расположена в Ростове-на-Дону и Ростовской области. С этих рабочих станций похищается и передается злоумышленникам вся информация о заказах лекарств и актуальных закупочных ценах. Компания «Доктор Веб» рекомендует фармацевтическим компаниям и аптекам проверить используемые ими компьютеры на предмет наличия данной вредоносной программы, а также сообщает, что для пользователей Антивируса Dr.Web BackDoor.Dande.2 угрозы не представляет.