Trojan-Banker.Win32.Floki

Em termos de capacidades, esta família de malware replica a família Zeus, na qual seu código-fonte é baseado. A principal diferença está no método usado para empacotar o arquivo de configuração. Enquanto as versões básicas do Zeus usavam RC4 + XOR para criptografia de pacotes, seguidas por um arquivo de configuração no formato zeus_storage, a estrutura usada pelo Floki é mais complicada. A resposta do servidor é criptografada usando RC4 + XOR, seguida por dados divididos em seções em um formato exclusivo do Floki. A combinação de partes de cada seção fornece informações completas. O primeiro byte indica o tipo de dados: • Arquivo de configuração, se o primeiro byte for 00 • Atualização, se o primeiro byte for 01 • Comando, se o primeiro byte for 02 O arquivo de configuração será criptografado novamente usando RC4 + XOR e, uma vez descriptografado, tem o formato zeus_storage padrão. Atualizações consistem em arquivos MZ / PE não criptografados. Os comandos também chegam sem criptografia, no formato padrão zeus_storage. O arquivo e os comandos de configuração descriptografados são compatíveis com a família Zeus.

Países com usuários atacados (% do total de ataques)

* Porcentagem entre todos os usuários únicos da Kaspersky no mundo atacados por este malware