TrojanSpy.Win32.EMOTET.JSHSMM

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware file path}\{Malware file name}.exe --{8 random characters}
• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
  • %System%\{String1}{String2}.exe --{8 random characters}
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 random characters}

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Erstellt die folgenden Ordner:

• If the sample is executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}

Wird ausgeführt und löscht sich dann selbst.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\I{Volume serial number}
• Global\M{Volume serial number}
• Global\E{Volume serial name}

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

Andere Details

Es macht Folgendes:

• It creates the service for persistence if the sample is executed with administrative privileges, otherwise it uses an autorun registry.
• It combines any two of the following strings and uses it as its filename "{String1}{String2}":
  • duck
  • mfidl
  • targets
  • ptr
  • khmer
  • purge
  • metrics
  • acc
  • inet
  • msra
  • symbol
  • driver
  • sidebar
  • restore
  • msg
  • volume
  • cards
  • shext
  • query
  • roam
  • etw
  • mexico
  • basic
  • url
  • createa
  • blb
  • pal
  • cors
  • send
  • devices
  • radio
  • bid
  • format
  • thrd
  • taskmgr
  • timeout
  • vmd
  • ctl
  • bta
  • shlp
  • avi
  • exce
  • dbt
  • pfx
  • rtp
  • edge
  • mult
  • clr
  • wmistr
  • ellipse
  • vol
  • cyan
  • ses
  • guid
  • wce
  • wmp
  • dvb
  • elem
  • channel
  • space
  • digital
  • pdeft
  • violet
  • thunk
• It deletes outdated copies of itself with a combination of any two of the following strings as its file name:
  • texas
  • func
  • deploy
  • run
  • leel
  • stuck
  • def
  • print
  • hal
  • monthly
  • pdf
  • char
  • netsh
  • memo
  • trns
  • rds
  • maker
  • more
  • textto
  • chunker
  • mailbox
  • compon
  • shades
  • scan
  • non
  • wsat
  • speed
  • publish
  • manual
  • hant
  • inbox
  • malert
  • zap
  • fill
  • angle
  • wrap
  • boost
  • cors
  • iplk
  • sitka
  • wow
  • prints
  • acquire
  • wiz
  • smo
  • footer
  • attrib
  • group
  • appid
  • xcl
  • sensor
  • methods
  • ipmi
  • raw
  • title
  • nic
  • ias
  • lua
  • dispid
  • special
  • serial
  • wsa
  • tcg
  • msp