Сегодня речь пойдёт о довольно редком, но крайне наглом трояне под красноречивым названием "ChewBacca", идентифицированный как Trojan.Win32.Fsysna.fej. Кроме того, что троян имеет довольно не типичный функционал он имеет ещё более необычный ареал обитания. Кстати, "Чубака" сильно отличается от обнаруженной неделю назад модификации трояна Zeus и вряд ли имеет к нему какое-либо отношение.

Технологии Tor предназначены для создания анонимного сетевого соединения с использованием шифрования, кроме защиты от прослушки, Tor так же защищает от механизмов анализа трафика, о которых я упоминал в прошлой статье (которую немного не верно интерпретировали). Потому появление трояна в такой сети довольно неожиданно.

Tor создаёт свой собственный домен верхнего уровня *.onion, который доступен только внутри сети Tor. Таким образом, расположение сервера и оператора скрыты. Тем не менее, внутренняя сеть Tor формируется довольно медленно, что приводит к тайм-аутам, во время которых и орудует "Чубака".


Троян "ChewBacca" реализован с помощью компилятора Free Pascal 2.7.1 и имеет формат исполняемых файлов PE32 и содержит вшитый клиент Tor 0.2.3.25, весит он приблизительно 5 МБ.

После запуска троян перемещает файл spoolsv.exe в папку C:\Documents and Settings\All Users\Start Menu\Programs\Startup\ и запрашивает IP жертвы с помощью фришного сервиса ekiga.net, в в папку Temp помещается клиент tor.exe, который работает через порт 9050.
Далее включается режим кейлогер и информация о нажатых клавишах логгируется в system.log, лежащий в папке Temp, откуда сливается на sendlog.php, который лежит на сервере кулхацкера. Также троянец обходит все запущенные процессы и читает их память.

"Чубака" даже оборудован функцией анинстала: “P$CHEWBACCA$_$TMYAPPLICATION_$__$$_DESTROY” дабы не огорчать лишний раз свою жертву и не лишать её иллюзии безопасности.
Сервер злоумышленника поднят на программном обеспечении LAMP, состоящим из CentOS Linux, Apache 2.2.15, MySQL и PHP 5.3.3 (с PHPMyAdmin 2.11.11.3), доступ осуществляется через http://5jiXXXXXXXXXXgmb.onion


На данный момент в открытом доступе "чубаки" нет, в отличии от бушевавшего неделю назад Zeus'а, что может говорить о его тестировании или о случайном засвете НБА и очередном глобальном заговоре О, Боже! Мы все умрём!
На этом всё, пишите письма