Trojan.Win32.BLUEROH.RPB

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %User Temp%\{random numbers}\TemporaryFile\TemporaryFile

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\miagration\{Malware Filename}
• %Windows%\IME\{Malware Filename}

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust folgende nicht bösartigen Dateien ein:

• %System%\drivers\npf.sys
• %System%\pthreadVC.dll
• %System%\Packet.dll
• %System%\wpcap.dll
• %Windows%\dispmrroe\Coolmaster\pthreadVC.dll
• %Windows%\dispmrroe\Coolmaster\Packet.dll
• %Windows%\dispmrroe\Coolmaster\wpcap.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• cmd /c ping 127.0.0.1 -n 3 & Start %Windows%\miagration\{Malware Filename}
• cmd /c %Windows\dispmrroe\Corporate\vfshost.exe privilege::debug sekurlsa::logonpasswords exit >> %Windows%\dispmrroe\Corporate\log.txt
• %Windows%\dispmrroe\Coolmaster\SerachProtocoiHost.exe -p80 {BLOCKED}.{BLOCKED}.255.1/24 --rate=4096

Erstellt die folgenden Ordner:

• %Windows%\IME
• %User Temp%\{random numbers}\TemporaryFile
• %Windows%\miagration
• %Windows%\dispmrroe\Corporate
• %Windows%\dispmrroe\UnattendGC
• %Windows%\dispmrroe\Coolmaster
• %Windows%\Temp\locales
• %Windows%\dispmrroe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt die folgenden Dienste hinzu und führt sie aus:

• Service Name: npf
  Path to executable: %System%\drivers\npf.sys
• Service Name: HomeGoruplocalService
  Description: HomeGorupLocalService Services If disabled, the system may fail to start.
  Path to executable: %Windows%\miagration\{Malware Filename}

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Windows%\dispmrroe\UnattendGC\AppCapture64.dll -> 64bit downloader for malware
• %Windows%\dispmrroe\UnattendGC\AppCapture32.dll -> 32bit downloader for malware
• %Windows%\dispmrroe\UnattendGC\specials\svschost.xml -> DoublePulsar backdoor configuration file
• %Windows%\dispmrroe\UnattendGC\specials\spoolsrv.xml -> EternalBlue exploit component configuration file
• %Windows%\dispmrroe\UnattendGC\specials\svschost.exe -> DoublePulsar backdoor
• %Windows%\dispmrroe\UnattendGC\specials\spoolsrv.exe -> EternalBlue exploit component
• %Windows%\dispmrroe\UnattendGC\svschost.xml
• %Windows%\dispmrroe\UnattendGC\spoolsrv.xml
• %Windows%\miagration\svschost.xml
• %Windows%\miagration\spoolsrv.xml
• %Windows%\dispmrroe\Corporate\vfshost.exe -> Mimikatz component
• %Windows%\dispmrroe\Corporate\mimidrv.sys
• %Windows%\dispmrroe\Corporate\mimilib.dll
• %Windows%\dispmrroe\Corporate\log.txt
• %Windows%\dispmrroe\Coolmaster\drivekperf.exe - custom IP scanner
• %Windows%\dispmrroe\Coolmaster\ip.txt
• %Windows%\dispmrroe\Coolmaster\scan.bat
• %Windows%\dispmrroe\Coolmaster\SerachProtocoiHost.exe - Masscan port scanner component
• %Windows%\Temp\locales\taskmgr.exe -> Coinminer part
• %Windows%\Temp\locales\config.json -> Coinminer configuration file

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• C:\Windows\TEMP\RestartLCore.exe