TrojanSpy.Win64.CNYSSTEAL.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• ollydbg.exe
• ida.exe
• ida64.exe
• idag.exe
• idag64.exe
• idaw.exe
• idaw64.exe
• idaq.exe
• idaq64.exe
• idau.exe
• idau64.exe
• scylla.exe
• scylla_x64.exe
• scylla_x86.exe
• protection_id.exe
• x64dbg.exe
• x32dbg.exe
• windbg.exe
• reshaker.exe
• ImportREC.exe
• IMMUNUTYDEBUGGER.EXE
• devenv.exe
• Procmon.exe
• Procmon64.exe
• Import reconstructor
• Process Monitor - Sysinternals
• Zeta Debugger
• Rock Debugger
• ObsidianGUI
• WinDbgFrameClass
• idawindows

Datendiebstahl

Folgende Daten werden gesammelt:

• System UID

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• {BLOCKED}heduler.com /r3diRecT/redirector/proxy.php
• {BLOCKED}.{BLOCKED}.{BLOCKED}.120

Andere Details

Es macht Folgendes:

• Enumerates files/folders in %System Root%\User's:
  • Downloads
  • Desktop
  • Documents
• It gathers files with the following extension and copies them to %Application Data%\OneDrive:
  • .doc
  • .docx
  • .xls
  • .clsx
  • .ppt
  • .pptx
  • .pdf
  • .zip
• It replace the following extensions with corresponding values:
  • .doc - X367
  • .docx - X946
  • .xls - X142
  • .clsx - X375
  • .ppt - X593
  • .pptx - X842
  • .pdf - X567
  • .zip - X052

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)