Trojan-Banker.Win32.Floki

In Bezug auf die Fähigkeiten repliziert diese Malware-Familie die Zeus-Familie, auf der der Quellcode basiert. Der Hauptunterschied besteht in der Methode zum Packen der Konfigurationsdatei. Während in den Basisversionen von Zeus RC4 + XOR für die Paketverschlüsselung verwendet wurde, gefolgt von einer Konfigurationsdatei im zeus_storage-Format, ist die von Floki verwendete Struktur komplizierter. Die Antwort vom Server wird mit RC4 + XOR verschlüsselt, gefolgt von einer Aufteilung der Daten in Abschnitte in einem für Floki eindeutigen Format. Die Kombination von Teilen aus jedem Abschnitt gibt vollständige Informationen. Das erste Byte gibt den Datentyp an:
• Konfigurationsdatei, wenn das erste Byte 00 ist
• Aktualisieren, wenn das erste Byte 01 ist
• Befehl, wenn das erste Byte 02 ist
Die Konfigurationsdatei wird mit RC4 + XOR neu verschlüsselt und hat nach der Entschlüsselung das Standardformat zeus_storage. Updates bestehen aus unverschlüsselten MZ / PE-Dateien. Befehle kommen auch unverschlüsselt im Standardformat zeus_storage an. Die entschlüsselte Konfigurationsdatei und die Befehle sind mit der Zeus-Familie kompatibel.

Länder mit angegriffenen Nutzern (% aller Angriffe)

* Prozentsatz aller einzigartigen Kaspersky-Lab-Benutzer weltweit, die von dieser Malware angegriffen werden