TrojanSpy.Win32.EMOTET.TIABOFHR

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• {malware file path and name} --b3744d69
• "%Windows%\SysWOW64\bidellipse.exe"
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %System%\svchost.exe -k WerSvcGroup
• %System%\svchost.exe -k netsvcs
• %Windows%\SysWOW64\bidellipse.exe --4c6d0a93
• %System%\WerFault.exe -u -p 960 -s 3952
• %System%\WerFault.exe -u -p 372 -s 1260
• %System%\WerFault.exe -u -p 2220 -s 208
• %System%\WerFault.exe -u -p 960 -s 4220
• %System%\WerFault.exe -u -p 1236 -s 208
• %System%\WerFault.exe -u -p 1236 -s 204
• %System%\WerFault.exe -u -p 960 -s 4216
• %System%\WerFault.exe -u -p 960 -s 4212
• %System%\WerFault.exe -u -p 1104 -s 180
• %System%\WerFault.exe -u -p 976 -s 208
• %System%\WerFault.exe -u -p 2256 -s 172
• %System%\WerFault.exe -u -p 2256 -s 176
• %System%\WerFault.exe -u -p 2256 -s 188
• %System%\WerFault.exe -u -p 968 -s 180
• %System%\WerFault.exe -u -p 1360 -s 1248
• %System%\WerFault.exe -u -p 2100 -s 1228
• %System%\WerFault.exe -u -p 1020 -s 180
• %System%\WerFault.exe -u -p 1020 -s 176
• %System%\WerFault.exe -u -p 1520 -s 168
• %System%\WerFault.exe -u -p 1520 -s 184
• %System%\WerFault.exe -u -p 1520 -s 172
• %System%\WerFault.exe -u -p 852 -s 180
• %System%\WerFault.exe -u -p 852 -s 176
• %System%\WerFault.exe -u -p 280 -s 168
• %System%\WerFault.exe -u -p 280 -s 172
• %System%\WerFault.exe -u -p 280 -s 184
• %System%\WerFault.exe -u -p 2212 -s 180
• %System%\WerFault.exe -u -p 2212 -s 176
• %System%\WerFault.exe -u -p 1856 -s 216
• %System%\WerFault.exe -u -p 2728 -s 180
• %System%\WerFault.exe -u -p 2728 -s 176

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Erstellt die folgenden Ordner:

• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
ImagePath = "%Windows%\SysWOW64\bidellipse.exe"

Andere Systemänderungen

Löscht die folgenden Dateien:

• {malware file path and name}
• %Windows%\SysWOW64\bidellipse.exe:Zone.Identifier
• %Windows%\LastGood.Tmp
• %Windows%\SysWOW64\groupfill.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\IKEEXT
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\LanmanServer\Shares
Users = "\x00\x00\x00\x00\x00\x00\x00"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
DisplayName = "bidellipse"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
Start = "SERVICE_AUTO_START"

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Browser
Type = "16"

(Note: The default value data of the said registry entry is 20.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\LanmanServer\Parameters
Guid = "s\x88\x86\xe0NKYK\xae\xf7\xcb3s\xb0\xd6;"

(Note: The default value data of the said registry entry is {random values}.)

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\LanmanServer\Parameters\
Guid

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System Root%\DfsServer
• %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
• %Windows%\SysWOW64\bidellipse.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Andere Details

It connects to the following possibly malicious URL:

• http://{BLOCKED}.18.169:8080/5NcXvKuqX
• http://{BLOCKED}.18.169:8080/Lhcx0p5rzwqUE
• http://{BLOCKED}.18.169:8080/6Ol4RWCM
• http://{BLOCKED}.18.169:8080/Rtppl4WCp4hsh2
• http://{BLOCKED}.18.169:8080/TafyaomSGlMiwoyGVEH
• http://{BLOCKED}.18.169:8080/jwM4UpWZ903Hx
• http://{BLOCKED}.18.169:8080/JqfyeT8MNi3Re1Dt9h
• http://{BLOCKED}.18.169:8080/vbU0hwWjBQ
• http://{BLOCKED}.18.169:8080/QhZRvf
• http://{BLOCKED}.18.169:8080/iZSFbUeAIEHdvVrh58Z
• http://{BLOCKED}.18.169:8080/iiSBVz9fgxj
• http://{BLOCKED}.18.169:8080/67JXMtXQGiUQ
• http://{BLOCKED}.18.169:8080/7wLMHhijsnP
• http://{BLOCKED}.18.169:8080/aphRBKd
• http://{BLOCKED}.18.169:8080/frOycRqP
• http://{BLOCKED}.18.169:8080/jOToy9MUVpKCe0qq
• http://{BLOCKED}.18.169:8080/UOWa3cIoynFkWYApW7