Вирусные аналитики компании «Доктор Веб» исследовали новую версию вредоносной программы, относящейся к широко известному семейству Trojan.Gozi.

Банковский троянец, получивший наименование Trojan.Gozi.64, основывается на исходном коде предшествующих версий Trojan.Gozi, который уже долгое время находится в свободном доступе. Как и другие представители этого семейства, Trojan.Gozi.64 может заражать компьютеры под управлением 32- и 64-разрядных версий Windows. Троянец не имеет алгоритмов для генерации имен управляющих серверов — их адреса «зашиты» в его конфигурации, в то время как одна из первых версий Gozi использовала в качестве словаря текстовый файл, загружаемый с сервера NASA.

Создатели троянца заложили в него ограничение, благодаря которому он способен работать с операционными системами Microsoft Windows 7 и выше, в более ранних версиях Windows вредоносная программа не запускается. Дополнительные модули скачиваются с управляющего сервера специальной библиотекой-лоадером, при этом протокол обмена данными использует шифрование. Лоадером Trojan.Gozi.64 могут выполняться на зараженной машине следующие вредоносные функции:
проверка обновлений троянца;
загрузка с удаленного сервера плагинов для браузеров, с помощью которых выполняются веб-инжекты;
загрузка с удаленного сервера конфигурации веб-инжектов;
получение персональных заданий, в том числе для загрузки дополнительных плагинов;
удаленное управление компьютером.

Trojan.Gozi.64 может встраивать в просматриваемые пользователем веб-страницы произвольное содержимое: например, поддельные формы авторизации на банковских сайтах и в системах «Банк — клиент». При этом, поскольку модификация веб-страниц происходит непосредственно на зараженном компьютере, URL такого сайта в адресной строке браузера остается корректным, что может ввести пользователя в заблуждение и усыпить его бдительность. Введенные в поддельную форму данные передаются злоумышленникам, в результате чего учетная запись жертвы троянца может быть скомпрометирована.

Помимо этого, на зараженный компьютер могут быть загружены и установлены дополнительные модули, в частности плагин, фиксирующий нажатие пользователем клавиш, модуль для удаленного доступа к инфицированной машине (VNC), компонент SOCKS-proxy-сервера, плагин для хищения учетных данных из почтовых клиентов и некоторые другие.