Trojan.Win32.COPPERPHISH.FV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\Microsoft\index.html → deleted afterwards
• %Application Data%\Microsoft\logo.png → deleted afterwards
• %Application Data%\Microsoft\qrcode.png → deleted afterwards
• %Windows%\Tasks\{16 Characters Generated}.job → deleted afterwards

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• %System%\rundll32.exe
• cmd /c ping 127.0.0.1 -n 3 & del "{Malware Path}\{Malware Filename}.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\signature_netcheck

Otras modificaciones del sistema

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{16 Characters Generated}

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{16 Characters Generated}
0 = {Hex Values}

Otros detalles

Hace lo siguiente:

• It deletes the default route from the IP routing table, disabling the communication to the Internet.
• It starts the RpcSs Service (Remote Procedure Call Service) if not running.
• It starts the Task Scheduler Service if not running.
• It checks for the existence of the following window:
  • Window class: ThunderRT6FormDC
    Window Name: Operators Network Error Check
  • If not found, it creates the following process in SUSPENDED state and injects code to it: %System%\rundll32.exe
• It shows the following "Operators Network Error Check" window, luring the user to scan the QR:
  {copperphish.png}
• The QR code directs to the following phishing website:
  • https://{BLOCKED}toonami.com → refer to Trojan.HTML.PHISH.FV
• It creates a named pipe and connects to it.
  • \.\pipe\microsoft_shutdown_network
• It reads data from the created pipe and waits for the message signalling that a correct confirmation code is entered.
• Once a correct confirmation code is supplied
  • Disconnects from the named pipe.
  • Restores the default route of the IP routing table.
  • Deletes the created scheduled task.
  • Closes the "Operators Network Error Check" window.
  • Deletes the following files:
    • %Application Data%\Microsoft\index.html
    • %Application Data%\Microsoft\logo.png
    • %Application Data%\Microsoft\qrcode.png
  • Sends a ping to {BLOCKED}.{BLOCKED}.{BLOCKED}.1
  • Deletes itself.