Trojan-Banker.Win32.Floki

En términos de capacidades, esta familia de malware replica la familia Zeus, en la que se basa su código fuente. La diferencia principal está en el método utilizado para empaquetar el archivo de configuración. Mientras que las versiones básicas de Zeus usaban RC4 + XOR para el cifrado de paquetes, seguidas por un archivo de configuración en el formato zeus_storage, la estructura utilizada por Floki es más complicada. La respuesta del servidor se cifra con RC4 + XOR, seguido por la división de datos en secciones en un formato exclusivo de Floki. La combinación de partes de cada sección brinda información completa. El primer byte indica el tipo de datos: • Archivo de configuración, si el primer byte es 00 • Actualización, si el primer byte es 01 • Comando, si el primer byte es 02 El archivo de configuración se vuelve a cifrar usando RC4 + XOR y, una vez descifrado, tiene el formato zeus_storage estándar. Las actualizaciones consisten en archivos MZ / PE no cifrados. Los comandos también llegan sin cifrar, en el formato estándar zeus_storage. El archivo de configuración descifrado y los comandos son compatibles con la familia Zeus.

Países con usuarios atacados (% de ataques totales)

* Porcentaje entre todos los usuarios únicos de Kaspersky en todo el mundo atacados por este malware