TrojanSpy.MSIL.QUIETSIEVE.SM

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %AppDataLocal%\IconsCache.db -> contains hashed equivalents of the unique files to steal
• %User Temp%\SymbolSourceSymbols\icons\{current date in YYYY-MM-DD-HH-MM format}.jpg -> screenshot of the current state of the machine

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• %User Temp%\SymbolSourceSymbols\icons

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{Random characters}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Remote code execution
• Capture screenshots

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer name
• User name
• Volume Serial Number

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• https://{BLOCKED}.{BLOCKED}.109.164/{Random alphanumeric characters}

Es macht Folgendes:

• It steals files with the following extensions:
  • .doc
  • .docx
  • .xls
  • .rtf
  • .odt
  • .txt
  • .jpg
  • .pdf
• It steals files with the following extensions if they are seen on folders with 'Desktop' or 'Documents' in its folder name:
  • .7z
  • .rar
  • .zip