TrojanSpy.Win32.NEGASTEAL.DYSHFX

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\whgovv.ze
• %User Temp%\niiprb.hb
• %User Temp%\cyazhw.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}pertsconsultgh.co

Datendiebstahl

Folgende Daten werden gesammelt:

• It gathers information from:
  • Current Time
  • Username
  • Computer Name
  • OS Version
  • CPU Architecture
  • Ram
  
  
  
  • Browsers
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • Chromium
  • Citrio
  • Cốc Cốc Browser
  • Coowon
  • Cyberfox
  • Dragon
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock
  • Icecat
  • IceDragon
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao
  • MapleStudio
  • Microsoft Edge
  • Mozilla Firefox
  • Opera Software
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • Sleipnir
  • Sputnik
  • Torch
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex
  • Emails
  • Becky!
  • Claws-mail
  • eM Client
  • Eudora
  • Foxmail
  • Incredimail
  • Mailbird
  • Opera Mail
  • Outlook
  • Pocomail
  • Postbox
  • The Bat!
  • Thunderbird
  • FTPs
  • cftp
  • COREFTP
  • FileZilla
  • FlashFXP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Navigator
  • FTPGetter
  • SmartFTP
  • WinSCP
  • WS_FTP
  • VPNs
  • NordVPN
  • OpenVPN
  • Private Internet Access
  • VNCs
  • RealVNC
  • TightVNC
  • TigerVNC
  • UltraVNC
  • Instant Messaging Applications
  • Discord
  • Psi/Psi+
  • Trillian
  • Others
  • JDownloader 2.0
  • MySQL Workbench
  • Windows Credentials
  • Windows Vault

Andere Details

Es macht Folgendes:

• It sends gathered information via email having the following details:
  • From: {BLOCKED}@expertsconsultgh.co
    To: {BLOCKED}31@gmail.com
    Subject: PW_{BLOCKED}_764/{BLOCKEd}N7-X64
    Body:
    Time: 03/06/2023 13:07:01
    User Name: {BLOCKED}er_764
    Computer Name: {BLOCKED}N7-X64
    OSFullName: Microsoft Windows 7 Professional
    CPU: Intel(R) Core(TM) i5-7500 CPU @ 3.40GHz
    RAM: 1023.49 MB
    

    ---

    Host: https://{BLOCKED}le.com/signin/v2/challenge/pwd
    Username: {BLOCKED}atzowak@gmail.com
    Password: {BLOCKED}20
    Application: Chrome
    

    ---