Backdoor.Win32.NETWIRED.FAS

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• {Malware File Path}\{Malware Filename}.exe

Erstellt die folgenden Ordner:

• %Application Data%\Logs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• FtsqDvKF

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{Special Characters}
StubPath = {Malware File Path}\{Malware Filename}.exe

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• List files on a directory
• Terminate processes
• Perform keylogging routine
• List Drives Information
• Get Logon Sessions
• List Process information
• Take Screenshots
• Search for specific files
• List processes' listening ports

However, as of this writing, the said sites are inaccessible.

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Temp%\{Random Characters}.bat -> for self-deletion

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein, die zur Erfassung von Tastatureingaben verwendet werden:

• %Application Data%\Logs\{DD-MM-YYYY}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Datendiebstahl

Stiehlt folgende Daten:

• Credentials in the following protocol:
  • POP3
  • IMAP
  • HTTP
  • SMTP
  • EAS
• System Information:
  • Computer Name
  • OS Version
  • Product Version

Andere Details

Es macht Folgendes:

• It connects to the following URL to download updates of itself and inject it to the currently running process of the malware:
  • https://drive.google.com/uc?export=download&id={BLOCKED}GNrQI464NxzXe