BackDoor.Dande

BackDoor.Dande - вредоносная программа заражающая компьютеры, работающие под управлением Windows XP/2003 Server. Данный бэкдор загружает и запускает в системе трояна, крадущего информацию из клиентских программ "Системы электронного заказа", предназначенных для фармацевтических компаний. BackDoor.Dande написан на языке C.

Запускаясь на инфицированном компьютере, BackDoor.Dande проверяет наличие своей копии в системе, определяет имя текущего пользователя, а также версию ОС. Если это — Windows XP или Windows Server 2003, бэкдор устанавливает соединение с удаленным управляющим сервером и загружает оттуда зашифрованный конфигурационный файл, а также код троянской программы Trojan.PWS.Dande, которая дешифруется и сохраняется в одной из папок. Также бэкдор обладает возможностью выполнять поступающие из командного центра директивы (команда на скачивание, сохранение и запуск модуля Trojan.PWS.Dande, удаление этого модуля, запись данных в конфигурационный файл и т.д).

Данный бэкдор обладает весьма любопытным механизмом поиска управляющих серверов. В случае, если один из них внезапно окажется закрыт, трояне отыщет новый согласно заложенному в него алгоритму, позволяющему генерировать имя командного центра. Кроме того, полезная нагрузка способна запускаться только на той машине, которая была инфицирована этим вредоносным ПО. Поскольку троян заражает библиотеку advapi32.dll, которая загружается во все запущенные в системе процессы, код беспрепятственно встраивается в них.

dande 350

Trojan.PWS.Dande предназначен для кражи данных клиентских приложений семейства "Системы электронного заказа", позволяющих различным фармацевтическим предприятиям и аптекам заказывать у поставщиков медицинские препараты. Среди таких приложений специализированная конфигурации:

  • "Аналит: Фармация 7.7" для платформы 1С;
  • "Система электронного заказа" СЭЗ-2 производства компании "Аптека-Холдинг";
  • программа формирования заявок компании "Российская Фармация";
  • система электронного заказа фармацевтической группы "Роста";
  • программа "Катрен WinPrice" и некоторые другие.


Среди собираемых данных — сведения об установленном на компьютере программном обеспечении, пароли учетных записей и т.д. Можно предположить, что интерес для злоумышленников представляют в основном данные о ценах и объемах заказа медикаментов. Вся похищенная информация передается на их сервер в зашифрованном виде. Иными словами, в данном случае мы имеем дело с редким представителем узкоспециализированных троянских программ, ориентированных на кражу информации строго в определенной сфере бизнеса.