TrojanSpy.Win32.BOYCHI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %AppDataLocal%\Microsoft\Outlooka\

Schleust die folgenden Dateien ein:

• %AppDataLocal%\Microsoft\Outlooka\nlashine.ini
• %AppDataLocal%\Microsoft\Outlooka\SysInfo_UP_22_16_11.pdf
• %AppDataLocal%\Microsoft\Outlooka\UP{Driver Letter}

Fügt die folgenden Prozesse hinzu:

• "cmd /c systeminfo >> %AppDataLocal%\MICROS~1\Outlooka\SysInfo_UP_22_16_11.pdf"
• "powershell $dir = 'C:\Users\DYITUS~1\AppData\Local\MICROS~1\Outlooka\';$gps = @('A','B','C','D','E','F','G','H','I','H','K','L','M','N','O','P','Q','R','S','T','U','V','W','X','Y','Z');foreach ($gp in $gps){$drv = $gp + ':\';if([System.IO.Directory]::Exists($drv)){$path = $dir + '\UP' +$gp;tree /f "$drv" | Out-File -Encoding default-FilePath $path-Width 5000;} }
• "%System%\tree.com" /f {Available Driver Letter}:\

Autostart-Technik

Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\rdpclipe.exe.lnk
• %User Startup%\AWastUI.exe.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Download-Routine

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Folgende Daten werden gesammelt:

• System information.
• All file and folder names in every available drives.

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.48/ESOK/post2.php

Andere Details

Es macht Folgendes:

• The malware attempts to establish a connection with a server using the GET command in order to verify its status.
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.48/ESOK/up2.php