TrojanSpy.MSIL.TOXICEYE.THCOGBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %System Root%\Users\ToxicEye\rat.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Schleust die folgenden Dateien ein:

• %System Root%\Users\ToxicEye\Keylogs
• %System Root%\Users\ToxicEye\autosteal.lock
• %Temp File%\tmp4EC0.tmp.bat

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Fügt die folgenden Prozesse hinzu:

• Schtasks.exe /create /f /sc ONLOGON /RL HIGHEST /tn "Chrome update" /tr "%System Root%\Users\ToxicEye\rat.exe"
• cmd.exe /C %Temp File%\tmp4EC0.tmp.bat & Del %Temp File%\tmp4EC0.tmp.bat

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• ADMIN:3736989d58fe9efccf446e282e522a7a

Datendiebstahl

Folgende Daten werden gesammelt:

• Desktop Screenshot
• It gathers credentials from the following:
  • Browser(Credit Card, History Date, Bookmarks, Cookies):
  • Chrome
  • Chromium
  • Opera Stable
  • Brave-Browser
  • Amigo
  • Vivaldi
  • Orbitum
  • Atom
  • Kometa
  • Comodo Dragon
  • Torch
  • Comodo
  • Slimjet
  • 360Browser
  • Maxthon3
  • K-Melon
  • Sputnik
  • CocCoc
  • Nichrome
  • uCozMedia
  • Chromodo
  • YandexBrowser
  • Applications:
  • Filezilla
  • Telegram
  • Discord
  • Steam
• Zip files containing all files and applications present on %Desktop%
• Clipboard

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• https://{BLOCKED}egram.org/bot5981399083:AAEHnXdvbepNaf6NW5inPfw0j_A5k_d0F-o/sendDocument?chat_id=5564760978

Andere Details

Es macht Folgendes:

• Able to Elevate previlage to administrator
• It terminates itself if any of the following are satisfied:
  • If the difference from the generated ticks are less than 10 seconds
  • If the following strings are found in the Win32_ComputerSystem manufacturer:
  • vmware
  • If the following strings are found in the Win32_ComputerSystem model:
  • VIRTUAL
  • VirtualBox
  • If the following strings are found in the video controller present on the machine:
  • Vmware
  • VBox