Analisado por: Melvin Jhun Palbusa   
 Modificado por: : Raymart Christian Yambot
 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Trojan Spy

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

  Detalhes técnicos

Tipo de compactação: 322238464 bytes
Tipo de arquivo: EXE
Compresión de archivo Delphi
Residente na memória: Não
Data de recebimento das amostras iniciais: 18 outubro 2023
Carga útil: Connects to URLs/IPs, Collects system information, Steals information

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

  • FA1EA8E940963B9A3B51F33824D877A8

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

  • ResourceHacker.exe
  • JoeTrace.exe
  • PCHunter32.exe
  • PCHunter64.exe
  • ProcessHacker.exe
  • procexp.exe
  • procexp64.exe
  • Wireshark.exe
  • filemon.exe
  • procmon.exe
  • regmon.exe

Datendiebstahl

Folgende Daten werden gesammelt:

  • System Information:
    • Computername
    • Username
    • Operating System Version
    • IP Address
    • Installed Anti Virus Products
    • Country
    • City
    • Region
    • Zip Code
    • Language
    • Geolocation
    • Time zone information
  • Installed Programs:
    • Mail Clients
      • Microsoft Outlook
      • Software\Clients\Mail
    • Anti-Malware Program
      • C:\Program Files\Trusteer
      • C:\Program Files (x86)\Trusteer
    • Banking
      • C:\Program Files\Diebold\
      • C:\Program Files (x86)\Diebold
      • C:\Program Files\Topaz OFD
      • C:\Program Files (x86)\Topaz OFD
    • Crypto Wallets
      • c:\Program Files\Bitcoin
      • c:\Program Files (x86)\OPOLODesk
      • c:\Program Files\OPOLODesk
      • c:\Program Files (x86)\BitBox
      • c:\Program Files\BitBox
      • c:\Program Files (x86)\Coinomi
      • c:\Program Files\Coinomi
      • c:\Program Files (x86)\Electrum
      • c:\Program Files\Electrum
      • c:\Program Files (x86)\Binance
      • c:\Program Files\Binance
  • Connects to the following URL to retrieve affected system's IP Address
    • http[:]/ip-api[.]com/json

Andere Details

Es macht Folgendes:

  • It terminates itself if any of the following are satisfied:
    • If the execution is occurring in a Virtual Environment
    • If it is executed from the following directory:
      • D:\script
      • D:\programming
    • If the username matches any of the following:
      • JOHN-PC
      • DESTOP2457
      • difusor
      • Win-StephyPC3
      • WIN-VUA6POUV5U
      • WORK
      • *~+
      • Administrator
  • It retrieves the hostname from the following URL
    • {BLOCKED}m-az.net
      • However as of this writing, the said URL is inaccessible.
  • It requires a successful connection to the C&C server to retrieve the URL responsible for downloading the payload.
  • Completing the captcha is required to execute the malware's routine.

  Solução

Mecanismo de varredura mínima: 9.800
Primeiro arquivo padrão VSAPI: 18.768.05
Data do lançamento do primeiro padrão VSAPI: 20 outubro 2023
VSAPI OPR Pattern Version: 18.769.00
VSAPI OPR Pattern veröffentlicht am: 21 outubro 2023

Step 2

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als TrojanSpy.Win32.GRANDOREIRO.MLMB entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!