Trojan.BAT.BATCLOAK.THJBDBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\Network48336Man.cmd

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein und führt sie aus:

• Copies of %System%\WindowsPowershell\v1.0\powershell.exe :
  • {Malware Path}\{Malware Filename and Extension}.exe
  • %Application Data%\Network48336Man.cmd.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware Filename and Extension}.exe {Powershell Script to decrypt and reflectively load the malicious payload}
• powershell.exe $a = [System.Diagnostics.Process]::GetProcessById({Process ID});$b = $a.MainModule.FileName;$a.WaitForExit();Remove-Item -Force -Path $b;
• powershell.exe add-mppreference -exclusionpath @({List of Available Drives})
• "powershell.exe" [Console]::Title = ((Get-ScheduledTask).Actions.Execute -join '').Contains('{Malware Path}\{Malware Filename}')
• powershell.exe Register-ScheduledTask -TaskName 'OneNote 48336' -Trigger (New-ScheduledTaskTrigger -AtLogon) -Action (New-ScheduledTaskAction -Execute '%Application Data%\Network48336Man.cmd') -Settings (New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -Hidden -ExecutionTimeLimit 0) -RunLevel Highest -Force
• cmd /c ""%Application Data%\Network48336Man.cmd" "

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt.

Autostart-Technik

Die zeitgesteuerte Aufgabe führt die Malware in folgenden Intervallen aus:

• Logon

Andere Details

Es macht Folgendes:

• It reflectively loads the encrypted payloads.
• It bypasses the Antimalware Scan Interface (AMSI).
• Terminates if found being executed in a debugger.
• Sets the attribute of the copied powershell.exe ({Malware Path}\{Malware Filename and Extension}.exe) to HIDDEN.
• Deletes the copied powershell.exe after execution.
• It adds the available drives to the exclusion path list of Windows Defender.