TrojanSpy.MSIL.NEGASTEAL.RJAHSPC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
• %Programs%\firefox\mozilla.exe → copy of itself

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ENC {base64 encrypted strings}

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
mozilla = %Programs%\firefox\mozilla.exe

Andere Systemänderungen

Löscht die folgenden Dateien:

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASAPI32
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASMANCS
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• https://{BLOCKED}am.org/{BotToken}:AAEz6ZTkghx2RsdTxeeE-sDulPHc5WQblVg/sendDocument?chat_id={ChatID}

Datendiebstahl

Folgende Daten werden gesammelt:

• It gathers information from:
  • Time
  • Username
  • Computer Name
  • OS Version
  • CPU Architecture
  • RAM
  • IP Address
  
  
  • Browsers
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • ChromePlus
  • Chromium
  • Citrio
  • Comodo Dragon
  • Comodo IceDragon
  • Coowon
  • Cyberfox
  • Cốc Cốc Browser
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock
  • Icecat
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao
  • Microsoft Edge
  • Mozilla Firefox
  • Opera Stable
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • SeaMonkey
  • Sleipnir
  • Sputnik
  • Torch
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex
  
  
  • Emails
  • Becky!
  • Claws-mail
  • eM Client
  • Eudora
  • Foxmail
  • IncrediMail
  • Mailbird
  • Opera Mail
  • Outlook
  • Pocomail
  • Postbox
  • The Bat!
  • Thunderbird
  
  
  • FTPs
  • cftp
  • COREFTP
  • FileZilla
  • FlashFXP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Navigator
  • FTPGetter
  • SmartFTP
  • WinSCP
  • WS_FTP
  
  
  • VPNs
  • NordVPN
  • OpenVPN
  • Private Internet Access
  
  
  • VNCs
  • RealVNC
  • TigerVNC
  • TightVNC
  • UltraVNC
  
  
  • Instant Messaging Applications
  • Discord
  • Psi/Psi+
  • Trillian
  
  
  • Others
  • JDownloader
  • MySQL Workbench
  • Windows Credentials
  • Windows Vault

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASAPI32

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASMANCS