TrojanSpy.Win32.FORMBOOK.THDOEBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Program Files%\{random characters}\{random characters}.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Fügt die folgenden Prozesse hinzu:

• {Malware File Path}\{Malware File Name} {path}
• {Spawned Process} /c del "{Malware File Path}\{Malware File Name}" → Delete itself
• {Spawned Process} /c copy "{Malware File Path}\{Malware File Name}" "%Program Files%\{random characters}\{random characters}.exe" /V → Create copy of itself

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Erstellt die folgenden Ordner:

• %Program Files%\{random characters}

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {16 random characters derived from the username}

Injiziert Code in die folgenden Prozesse:

• {Malware File Path}\{Malware File Name} {path}
• explorer.exe
• Any of the following legitimate Windows applications: (Spawned by the hijacked explorer.exe)
  • systray.exe
  • dwm.exe
  • wuauclt.exe
  • control.exe
  • autoconv.exe
  • audiodg.exe
  • raserver.exe
  • svchost.exe
  • chkdsk.exe
  • lsm.exe
  • services.exe
  • msiexec.exe
  • wininit.exe
  • cscript.exe
  • nbtstat.exe
  • taskhost.exe
  • colorcpl.exe
  • explorer.exe
  • wscript.exe
  • wlanext.exe
  • autochk.exe
  • msg.exe
  • NAPSTAT.exe
  • spoolsv.exe
  • lsass.exe
  • rundll32.exe
  • msdt.exe
  • cmstp.exe
  • autofmt.exe
  • help.exe
  • rdpclip.exe
  • wuapp.exe
  • WWAHost.exe
  • ipconfig.exe
  • NETSTAT.exe
  • mstsc.exe
  • cmmon32.exe
  • netsh.exe
  • cmd.exe
• {Targeted Applications}

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• SharedIntApp.exe
• vmtoolsd.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WindowsNT\CurrentVersion\Run
{random characters} = %Program Files%\{random characters}\{random characters}.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• OS Version and Product Name
• OS Architecture
• CRC32 of SID
• Information from the following applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Avast SafeZone Browser
    • Baidu
    • BlackHawk
    • Chrome
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Safari
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Client:
    • 3DFTP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • Yahoo Messenger

Andere Details

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Es macht Folgendes:

• It terminates itself if the following DLL is loaded on its memory:
• • SbieDll.dll
• It terminates itself if the following DLL loaded on its memory has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters.
• It looks for the following strings on HTTP requests:
  • pass
  • token
  • email
  • login
  • sign in
  • account
  • persistent