Backdoor.MSIL.REVENGERAT.BB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Wird möglicherweise von anderer Malware eingeschleust.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Sammelt bestimmte Informationen auf dem betroffenen Computer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird möglicherweise von der folgenden Malware eingeschleust:

• Trojan.MSIL.REVENGERAT.BA

Installation

Fügt die folgenden Prozesse hinzu:

• %Application Data%\Microsoft\Windows\explorer.exe
• netsh firewall add allowedprogram "%Application Data%\Microsoft\Windows\explorer.exe" "explorer.exe" ENABLE
• "%System%\cmstp.exe" /au %User Temp%\{8 Random characters}.inf

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Windows Explorer

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Explorer = "%Application Data%\Microsoft\Windows\explorer.exe" .

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Explorer = "%Application Data%\Microsoft\Windows\explorer.exe" .

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_USERS\{GUID}
di = !

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Windows Explorer

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Registry manipulation
• Download and execute additional malware
• Capture screen
• Uninstalls itself and additional malware downloaded
• Send Keylogger logs

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• tcp://{BLOCKED}l.hackcrack.io:32544

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Application Data%\Microsoft\Windows\explorer.exe → Copy of itself, with HIDDEN attribute. Dropped only if execution path is not %Application Data%\Microsoft\Windows\explorer.exe
• %Application Data%\Microsoft\Windows\version.exe → with HIDDEN attribute, detected as Trojan.MSIL.REVENGERAT.BC
• %User Temp%\{8 Random Characters}.inf

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• Volume Serial Number
• Computer name
• Username
• Executable last write date
• OS Version and Architecture
• Presence of a webcam
• Active window title bar
• Registry value names under a specific key

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Andere Details

Es macht Folgendes:

• It abuses the Microsoft Connection Manager Profile Installer (CMSTP.exe) supplied by a malicious INF file to execute a malicious file:
  • %Application Data%\Microsoft\Windows\version.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)