Trojan.Tofsee jak program antywirusowy

Przeczytaj także: ESET: fałszywy antywirus Fix-PC

Trojan.Tofsee z pewnością jest specyficznym przedstawicielem złośliwego oprogramowania – niektórzy użytkownicy mogliby wręcz cieszyć się z jego posiadania. Obok funkcji rozsyłania spamu, program usuwa bowiem inne zagrożenia i czyni to w sposób nad wyraz skuteczny.

Trojan rozprzestrzenia się przez Skype, portale społecznościowe i pendrive’y. W pierwszym przypadku przestępcy próbują przekonać użytkowników, że w internecie zamieszczone są kompromitujące ich zdjęcia i filmy – chociaż trik ten stosowany jest od wielu lat, ludzie nadal dają się na niego nabrać. W tekście wiadomości znajduje się link do strony, na której rzekomo znajdują się obiecane materiały. Aby jednak możliwe było ich obejrzenie, użytkownik proszony jest o pobranie wtyczki do przeglądarki, którą w rzeczywistości jest Trojan.Tofsee.

Specjalny moduł, pobierany z serwera należącego do cyberprzestępców, odpowiada za dystrybucję programu Trojan.Tofsee za pośrednictwem Twittera, Facebooka czy Skype’a. Wiadomości przesyłane przez moduł są generowane przy użyciu szablonu znajdującego się w pliku konfiguracyjnym, a następnie wysyłane do użytkowników portali społecznościowych w ich rodzimym języku.

Złośliwy moduł, w celu wysyłania wiadomości przez Twittera czy Facebooka, korzysta z danych zapisanych w plikach cookie przechowywanych w przeglądarkach Microsoft Internet Explorer, Mozilla Firefox, Opera, Safari i Google Chrome. Aby wysłać wiadomości przez Skype, moduł aktywuje przyciski w okienku aplikacji. Potrafi on również obejść zabezpieczenie CAPTCHA, wysyłając obrazy na serwer rozpoznający, który z kolei zwraca do trojana tekst wpisywany do formularza.
Inny moduł ułatwia dystrybucję trojana za pomocą przenośnych pamięci masowych. Również w tym przypadku twórcy wirusa wykorzystali popularne rozwiązanie: moduł zapisuje plik wykonywalny programu Trojan.Tofsee w koszu i tworzy plik autorun.inf w katalogu głównym urządzenia. Serwer sterujący wydaje natomiast polecenie zainfekowania systemu.

Kolejny moduł umożliwia aktualizację jądra programu Trojan.Tofsee z serwera hakerów. Wszystkie parametry potrzebne do przeprowadzenia tej procedury są zapisane w specjalnym pliku konfiguracyjnym. Jeżeli któregoś z tych parametrów brakuje, trojan nie dokonuje aktualizacji, tylko pobiera z serwera takie oto zdjęcie:

Jeszcze ciekawszy jest moduł przeznaczony do wyszukiwania i usuwania malware z zainfekowanego komputera. Przeszukuje on dyski pod kątem plików z określonej listy, a także wpisy w rejestrze Windows oraz trwające procesy, i usuwa wykryte złośliwe pliki. Nawet jeśli użytkownik nie ma więc programu antywirusowego, Trojan.Tofsee znakomicie sprawdzi się w tej roli.

Głównym zadaniem trojana jest rozsyłanie spamu. Tekst wiadomości spam jest generowany przy użyciu specjalnych szablonów pobieranych z serwera cyberprzestępców. W głównym module Trojan.Tofsee zaimplementowane są rutynowe procedury networking i SMTP. Po nawiązaniu połączenia z serwerem, wysyłane są mu klucze odszyfrowujące. Następnie trojan wysyła dane na serwer zarządzający, z którego otrzymuje dalsze polecenia. Do tworzenia spamu trojan wykorzystuje własny język skryptowy.
Obecnie Tofsee.Trojan może pobrać ze zdalnych serwerów 17 wtyczek, zaimplementowanych jako biblioteki DLL. Oprócz wyżej opisanych modułów, Trojan.Tofsee wykorzystuje następujące wtyczki:

• Wtyczka służąca do weryfikacji adresów zdalnego hosta, przesyłanych do wtyczki w formie bloku danych konfiguracyjnych;
• Wtyczka do przeprowadzania ataków DDoS. Umożliwia ona dokonywanie dwóch rodzajów ataków: http flood i syn flood;
• Zaszyfrowana wtyczka Trojan.PWS.Pony.5;
• Wtyczka, która tworzy logi danych wykorzystywanych przez przeglądarkę Internet Explorer. Wtyczka ta posiada własny plik konfiguracyjny, wypakowuje z niego bibliotekę IEStub.dll i wstrzykuje ją do procesu przeglądarki;
• Wtyczka przetwarzająca pliki graficzne, z których następnie korzystają inne wtyczki;
• Moduł pobierający adresy e-mail z Internet Account Manager i PStoreCreateInstance, generuje adresy nadawców wg wzoru % NAMEPC% @mail.ru i próbuje wysyłać wiadomości do obiorców z wygenerowanej listy;
• Wtyczka pobierająca Trojan.BtcMine.148, który służy do wydobywania bitcoinów. Wtyczka instaluje w systemie Trojan.BtcMine.148 i nadaje mu wszystkie potrzebne parametry operacyjne;
• Wtyczka, która instaluje Trojan.Siggen.18257 w katalogu system32\drivers\ jako plik o losowo wybranej nazwie i rozszerzeniu .sys, po czym go uruchamia;
• Moduł proxy HTTP i socks5;
• Wtyczka generująca i wysyłająca wiadomości e-mail; generuje wiadomości w oparciu o własny język skryptowy i przesyła je za pomocą protokołu HTTPS; zaimplementowane szyfrowanie SSL za pomocą Microsoft Unified Security Protocol Provider;
• Przechwytywanie ruchu sieciowego na niskim poziomie i biblioteka procedur wykonują swe zadania przy użyciu specjalnego sterownika. Przeszukuje on strumień danych pod kątem informacji przesyłanych za pomocą protokołu FTP i SMTP i może modyfikować adres i zawartość wiadomości;
• Wtyczka generująca i przetwarzająca szablony konfiguracyjne;
• Wtyczka oparta na języku skryptowym, uczestnicząca w tworzeniu wiadomości typu spam.