TrojanSpy.Win32.VIDAR.D

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Wird möglicherweise von anderer Malware eingeschleust.

Wird ausgeführt und löscht sich dann selbst.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird möglicherweise von der folgenden Malware eingeschleust:

• Trojan.Win32.MULTDROPEX.A

Installation

Schleust die folgenden Dateien ein:

• %ProgramData%\{Random characters}\{GUID}{Random characters}.zip (contains aggregated system information to be sent to C2)

Erstellt die folgenden Ordner:

• %ProgramData%\{Random characters} (contains stolen information)

Wird ausgeführt und löscht sich dann selbst.

Datendiebstahl

Sammelt bei Ausführung der betroffenen Anwendung die folgenden Informationen:

• Telegram session data
• Cryptocurrency wallet data
• Browser data (e.g. cookies, downloads, history, credentials, autofills, credit card data)
• Date executed
• Machine ID
• GUID
• HWID
• Working path
• Product name
• Computer name
• User name
• Resolution
• Operating system information
• Keyboard layout
• Datetime executed
• RAM information
• Processor information
• Video card information
• Running processes
• Screenshot

Andere Details

Es macht Folgendes:

• It connects to the following URL to resolve its configuration:
  • https://prophefliloc.{BLOCKED}r.com/
  As of this moment, it received the following URL it will use to send its stolen information: {BLOCKED}.{BLOCKED}.2.239
• It downloads the following normal files in %ProgramData% upon resolving its configuration:
  • freebl3.dll
  • mozglue.dll
  • msvcp140.dll
  • nss3.dll
  • softokn3.dll
  • vcruntime140.dll
  • msvcp140.dll