TrojanSpy.Win32.NUMANDO.MSIDLDT

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Ruft bestimmte Informationen vom betroffenen System ab.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• {Malware file path}\music.mp3
• {Malware file path}\{Computer name}.pdf (contains the malware's latest path)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• {Malware file path}\{Random 8 characters from A-Z}.exe

Fügt die folgenden Prozesse hinzu:

• "{Default browser file path}" https://{BLOCKED}o.bo/2ULIS4F

Wird ausgeführt und löscht sich dann selbst.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware name}.exe = {Malware file path and name}.exe

Schleust die folgenden Dateien ein:

• %User Startup%\{Random 8 characters from A-Z}.vbs

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Ändert die folgenden Dateien:

• %AppDataLocal%\Google\Chrome\User Data\Local State
• %Application Data%\Mozilla\Firefox\Profiles\{Default profile}\prefs.js

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Löscht die folgenden Dateien:

• {Malware file path}\{Computer name}.pdf

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• chrome.exe
• firefox.exe

Datendiebstahl

Ruft folgende Informationen vom betroffenen System ab:

• Operating system
• Credentials from the following internet banking sites:
  • Banco de Brasil
  • Auto Atendimento Banco de Brasil
  • Caixa Internet Banking
  • Itaú Banking
  • Any site with text "Internet banking"

Andere Details

Es macht Folgendes:

• It receives data from the folliowing websites:
  • https://docs.google.com/document/d/e/{BLOCKED}1vS_sV6OefdyzXWtL0LwZcspJIf6HvJ12v1MKAZQU33-neFhz2sTa22nrgtKrkw9XSqj4gcjyb92kgif/pub