TrojanSpy.MSIL.REDLINESTEALER.SU

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• {Malware Directory}\{Malware Filename}
• %System%\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath {Malware Directory}\{Malware Filename}

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Injiziert Code in die folgenden Prozesse:

• spawned {Malware Directory}\{Malware Filename}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download - downloads a file to specified path
• DownloadAndEx - downloads a file to specified path then execute it
• OpenLink - opens a specific link in the browser
• Cmd - execute commands via cmd

Datendiebstahl

Folgende Daten werden gesammelt:

• Gathers the following system information:
  • Username
  • Hardware ID
  • Computer Name
  • Operating System
  • GPU Information
  • CPU Information
  • IP Address
  • Country
  • City
  • ZipCode
  • System Language
  • System Timezone
  • Browser Cookies
  • Disk Drive
• Gathers information from:
• Browsers:
  • Chrome Based Browsers
  • Gecko Based Browsers
• FTP Clients:
  • FileZilla
• Messaging Applications:
  • Telegram
• VPN:
  • NordVPN
  • OpenVPN
  • ProtonVPN
• Wallets:
  • Armory
  • Atomic
  • BinanceChain
  • Coinomi
  • Electrum
  • Ethereum
  • Exodus
  • Guarda
  • Jaxx
• Others:
  • Discord
• Browser Extensions:
• Autofill data
• Browser data (Login information, cookies) relating to the following wallets:
  • MathWallet
  • Metamask
  • NiftyWallet
  • Tronlink
  • YoroiWallet
  • Monero
• Gathers the following data depending on the configurations received:
  • Browser profile (Login information, Cookies)
  • Ftp Connections (Login information)
  • Game Chat Files (Application information)
  • Game Launcher Files (Application information)
  • Installed Browsers Information
  • Message Client Files (Application information)
  • Installed Software
  • Security Software

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.230.79:62370