This spring, the author of the NukeBot banking Trojan published the source code of his creation. He most probably did so to restore his reputation on a number of hacker forums: earlier, he had been promoting his development so aggressively and behaving so erratically that he was eventually suspected of being a scammer. Now, three months after the source code was published, we decided to have a look at what has changed in the banking malware landscape.
NukeBot in the wild
The publication of malware source code may be nothing new, but it still attracts attention from across the IT community and some of that attention usually goes beyond just inspecting the code. The NukeBot case was no exception: we managed to get our hands on a number of compiled samples of the Trojan. Most of them were of no interest, as they stated local subnet addresses or ‘localhost/127.0.0.1’ as the C&C address. Far fewer samples had ‘genuine’ addresses and were ‘operational’. The main functionality of this banking Trojan is to make web injections into specific pages to steal user data, but even from operational servers we only received ‘test’ injections that were included in the source code as examples.
Test injections from the NukeBot source code
The NukeBot samples that we got hold of can be divided into two main types: one with plain text strings, and the other with encrypted strings. The test samples typically belong to type 1, so we didn’t have any problems extracting the C&C addresses and other information required for analysis from the Trojan body. It was a bit more complicated with the encrypted versions – the encryption keys had to be extracted first and only after that could the string values be established. Naturally, all the above was done automatically, using scripts we had developed. The data itself is concentrated in the Trojan’s one and only procedure that is called at the very beginning of execution.
A comparison of the string initialization procedure in plain text and with encryption.
Decryption (function sub_4049F6 in the screenshot) is performed using XOR with a key.
Implementation of string decryption in Python
In order to trigger web injections, we had to imitate interaction with C&C servers. The C&C addresses can be obtained from the string initialization procedure.
When first contacting a C&C, the bot is sent an RC4 key which it uses to decrypt injections. We used this simple logic when implementing an imitation bot, and managed to collect web injections from a large number of servers.
Initially, the majority of botnets only received test injects that were of no interest to us. Later, however, we identified a number of NukeBot’s ‘combat versions’. Based on an analysis of the injections we obtained, we presume the cybercriminals’ main targets were French and US banks.
Example of ‘combat-grade’ web injections
Of all the Trojan samples we obtained, 2-5% were ‘combat-grade’. However, it is still unclear if these versions were created by a few motivated cybercriminals and the use of NukeBot will taper off soon, or if the source code has fallen into the hands of an organized group (or groups) and the number of combat-grade samples is set to grow. We will continue to monitor the situation.
We also managed to detect several NukeBot modifications that didn’t have web injection functionality, and were designed to steal mail client and browser passwords. We received those samples exclusively within droppers: after unpacking, they downloaded the required utilities (such as ‘Email Password Recovery’) from a remote malicious server.
Kaspersky Lab products detect the banking Trojans of the NukeBot family as Trojan-Banker.Win32.TinyNuke. Droppers containing this banking Trojan were assigned the verdict Trojan-PSW.Win32.TinyNuke.
MD5
626438C88642AFB21D2C3466B30F2312
697A7037D30D8412DF6A796A3297F37E
031A8139F1E0F8802FF55BACE423284F
93B14905D3B8FE67C2D552A85F06DEC9
A06A16BD77A0FCB95C2C4321BE0D2B26
0633024162D9096794324094935C62C0
9E469E1ADF9AAE06BAE6017A392B4AA9
078AA893C6963AAC76B63018EE4ECBD3
44230DB078D5F1AEB7AD844590DDC13E
FAF24FC768C43B95C744DDE551D1E191
8EBEC2892D033DA58A8082C0C949C718
6DC91FC2157A9504ABB883110AF90CC9
36EB9BDEFB3899531BA49DB65CE9894D
D2F56D6132F4B6CA38B906DACBC28AC7
79E6F689EECB8208869D37EA3AF8A7CA
9831B1092D9ACAEB30351E1DB30E8521
Source: Cyber Security by Kaperski Labs
Раніше думала, що відмінно вмію готувати, але в останні місяці мої страви стали скучними і повторювалися. Дівчина запропонувала мені ознайомитись нові рецепти, але я не знала, як підібрати. Якось ввечері знайшла цей каталог і… це було справжнє одкровення! Я дізналася, що є безліч сайтів з неймовірними рецептами, про які я навіть не підозрювала. Особливо мене вразили підбірки з ексклюзивними стравами та рецептами національних кухонь. Протягом місяця я освоїла страву італійської кухні, тайської та а також грецької кухні! Моя чоловік і діти дуже задоволені, а я почуваюсь справжнім гурманом. Я навіть почала вести щоденник, де зберігаю кожен спробований рецепт, які вдалося приготувати
Каталог кулінарних рецептів
Раніше думала, що відмінно вмію готувати, але недавно мої страви стали скучними і почали повторюватись. Подруга запропонувала мені ознайомитись нові рецепти, але я не знала, з чого почати. Випадково знайшла цей каталог і… це було як відкриття нового світу! Виявилося, що є величезна кількість сайтів з незвичайними рецептами, про які я навіть не підозрювала. Я була в захваті від категорії з авторськими стравами та рецептами різних кухонь світу. За останній місяць я освоїла страву італійської кухні, в’єтнамської та навіть марокканської кухні! Моя сім’я безмежно щасливі, а я почуваюсь справжнім гурманом. Також почала вести щоденник, де зберігаю кожен спробований рецепт, які освоїла
lenkapenka2.xyz
Глибоко усвідомлюю всіх, хто задовбався від безкінечного шукання перевірених рецептів! Раніше я мала безліч збережених сторінок в інтернет-обозрівачі – одні сайти зі тортів, декілька під м’ясних страв, інші зі овочевих варіантів. Завжди плутала у цьому хаосі! Втім коли відкрила даний портал, моє власне кухонне життя поліпшилося! На сьогодні мені доступний весь необхідний контент в єдиному джерелі – починаючи з елементарних варіантів для буднів до особливих меню. Надзвичайно люблю те, як кожен джерела апробаційні роками і пропонують зрозумілі , покрокові вказівки. Тепер не згадуючи про те, вже сьогодні готую в десятки разів ефективніше – не треба витрачати години на перебирання сайтів
Каталог сайтів
Глибоко усвідомлюю всіх, яка стомлився через щоденного виснажливого пошуку якісних страви! Колись у мене була величезну кількість збережених сторінок на комп’ютері – деякі сайти під печива, частина під м’ясних рецептів, решта для рослинних варіантів. Часто заблукала серед цього хаосі! Але після того, як знайшла даний каталог, моє гастрономічне життя стало простішим! Зараз мені доступний весь необхідний контент в одному каталозі – від елементарних ідей для буднів до святкових рецептів. Дуже обожнюю той момент, що всі сайти апробаційні роками і мають чіткі , зрозумілі для новачків рекомендації. Тепер не згадуючи про те, що, зараз приготую в десятки разів ефективніше – не треба витрачати марно купу часу на пошуки
uadomodeas.xyz
Выбирал плитку – на каждом сайте разные рекомендации. То говорят “только итальянская”, то “местный производитель надежнее”. Обнаружил подборку с сайтами, где эксперты тестируют продукцию честно. Теперь хоть понимаю, какой вариант выбрать: https://vovchukblog.xyz/
Выбирал – на каждом сайте разные рекомендации. То говорят “только итальянская”, то “местный производитель надежнее”. Наткнулся на каталог с ресурсами, где эксперты тестируют плитку честно. Теперь хоть понимаю, какую брать: https://domodomiknash.xyz/
Раніше думала, що чудово знаю як готувати, але недавно мої страви стали нудними і повторювалися. Подруга підказала мені подивитися оригінальні рецепти, але я не знала, де шукати. Якось ввечері знайшла цей каталог і… це було наче знахідка скарбу! Оказалося, що є цілий океан сайтів з незвичайними рецептами, про які я навіть не підозрювала. Особливо мене вразили підбірки з ексклюзивними стравами та рецептами різних кухонь світу. Протягом місяця я освоїла страву італійської кухні, японської та навіть марокканської кухні! Моя домочадці в захваті, а я почуваюсь справжнім гурманом. Також почала вести щоденник, де фіксую цілі кулінарні відкриття, які вдалося приготувати
Каталог
Монтировал тёплые полы — изучил множество противоречивых рекомендаций. В одних источниках советуют «не меньше 6 см», а в других «можно обойтись 3 см». В результате нашёл каталог, где собрали проверенные источники: с действующими нормативами, советами мастеров минус этих «гуру ремонта». Теперь ясно, что делать: https://mydovidnikgospodarya.xyz/
Пытался найти, как не нарваться на шарлатанов — везде либо реклама, либо ужастики про обманутых заказчиков. Пока не обнаружил на каталог где собраны проверенные ресурсы, где реальные люди делятся опытом. Наконец-то понял, как выбирать нормальных специалистов: https://mydovidnikgospodarya.xyz/
Мені хочеться відкрити вам історією, що сталася з мною минулого тижня, і це було…. Моя принцеса вимовила бажання, щоб я створила щось особливе з нагоди великої події. Я, звичайно, кинулася вишукувати врятувальну знахідку у інтернеті і…. Втратила цілісних півтори години свого життя, стрибаючи від сайту на сайт! Деякі варіанти виявилися нереально для професіоналів, інші варіанти – зі справжніми недоступними інгредієнтами, ще кілька – серед купою спонсорських посилань. Та ось потім я вспомнила про цей каталог та менш ніж за 5 хвилинок знайшла – мрійливий вибір! Ця знахідка був настільки настільки зрозумілим, що в результаті навіть юна ще дуже молода помічниця змогла мені допомогти. Як результат ми спекли ніби з журналу торт, і він був визнаний справжнім прикрасою свята. І ось вам результат всі мої тепер зацікавлені друзі не дають мені проходу з питаннями: “В якому місці ви знайшла цей диво настільки чудовий рецепт?”
Каталог сайтів
Вибачте, але я мушу розказати пригодою, яка виникла з мене минулого тижня, і це було…. Моя мала замовила, аби як мама створила дещо унікальне на її свята. Я, безумовно, розпочала шукати врятувальну знахідку на просторах мережі і… о боже!. Втратила цілих нервущих півтори години марних пошуків, переходячи з сайту на другий сайт! Деякі ідеї виявилися занадто з багатоетапні, інші – із дивними продуктами, решта – із тоннами банерів. І потім ваша героїня мені спало на думку щодо цей каталог й за п’ять неймовірно швидких хвилинок відкрила – той самий вибір! Рецепт був настільки настільки простим, що в результаті навіть 12-річна помічниця спромоглася своїй мамі взяти участь. І що ви думаєте? ми разом зробили неймовірний десерт, що став справжнім відкриттям святкового столу. Тепер всі мої тепер зацікавлені знайомі обсіли мене з розпитуваннями: “В якому місці ти вишукала настільки неймовірно класний рішення?”
Каталог
Ресурс стал находкой для тех, кто принимает гостей в последний момент. Раздел ‘Экспресс-меню’ предлагает решения, когда времени в обрез.
Кулінарний блог blogidealista.shop
Я просто не можу не розповісти історією, яка сталася зі мене попереднього тижня. Моя принцеса попросила, аби я спекла один святкове до великої події. Ваша героїня, звичайно, почала вишукувати рецепт в інтернеті і…. Промучилася цілих півтора години свого життя, стрибаючи від ресурсу у бік сайт! Одні ідеї виявилися нереально з багатоетапні, декілька – із дивними компонентами, ще кілька – із надмірною кількістю відволікаючих елементів. А потім я пригадала щодо цей ресурс й менш ніж за 5 хвилинок знайшла свою панацею – ідеальний рішення! Варіант виявився настільки простим, що в результаті навіть ще дуже молода доця здолала своїй мамі підказати. В результаті ми створили чарівний торт, і він був визнаний ідеальним прикрасою святкового столу. Зараз кожна мої знайомі не дають мені проходу з питаннями: “На якому сайті ти знайшла цей диво настільки чудовий рецепт?”
Каталог рецептів
Планировал снизить затраты РїСЂРё отделке — повсеместно то “РЅРµ экономьте”, либо рекомендации типа “используйте подручные материалы”. Открыл для себя нормальные сайты, РІ которых рассказывают, РЅР° чем реально удастся сократить расходы РЅРµ РІ ущерб результату: https://blogprodomodela.xyz/
РљРѕРіРґР° начинал отделке, думал – РЅСѓ интернет же, тут РІСЃРµ есть. Как Р±С‹ РЅРµ так! РћРґРёРЅ пишет грунтовать 3 раза, второй – что достаточно РѕРґРЅРѕРіРѕ покрытия, некоторые РІРѕРІСЃРµ пропагандируют клей РџР’Рђ использовать. Провел СѓР№РјСѓ времени, РїРѕРєР° РЅРµ нашел адекватный РїРѕРґР±РѕСЂРєСѓ проверенных ресурсов. Там систематизировали исключительно качественные источники – СЃРѕ стандартами, рекомендациями мастеров Рё без этой пустой шелухи. Пользуйтесь, возможно сохраните силы: https://domamaistuvali.xyz/
Приступая Рє ремонту, полагал – РЅСѓ интернет же, здесь РІСЃРµ есть. Ничего РїРѕРґРѕР±РЅРѕРіРѕ! РћРґРёРЅ советует наносить три слоя грунтовки, РёРЅРѕР№ источник – что достаточно РѕРґРЅРѕРіРѕ покрытия, некоторые РІРѕРІСЃРµ рекомендуют самодельные смеси использовать. Потерял неделю, РїРѕРєР° РЅРµ обнаружил полезный РїРѕРґР±РѕСЂРєСѓ рекомендованных порталов. Р’ нем систематизировали только проверенные материалы – СЃРѕ стандартами, опытом профессионалов Рё без РІСЃСЏРєРѕР№ коммерческой РІРѕРґС‹. Пользуйтесь, возможно сохраните время: https://kostyablog.xyz/
Мы делаем сайты, которые привлекают клиентов и увеличивают продажи.
Почему нужно выбрать нас?
Качественный дизайн, который привлекает взгляд
Адаптация под любые устройства (ПК, смартфоны, планшеты)
SEO-оптимизация для роста в поисковых системах
Скорость загрузки — никаких медленных сайтов
Специальное предложение:
Первым 11 клиентам — скидка 16% на разработку сайта!
Готовы обсудить проект?
Позвоните нам!
Сайт студии
Монтировал тёплые полы — просмотрел сотни страниц форумов. Где-то утверждают «не меньше 6 см», а в других «хватит и 3 см». В итоге нашёл каталог, где систематизировали адекватные материалы: с актуальными СНиПами, советами мастеров и нет сомнительных экспертов. Теперь хоть понимаю, что делать
Каталог будівельних сайтів