Trojan.Win64.DOWNLOADER.NLJ

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para robar información.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• %User Profile%\Pictures\{24 Random Alphanumeric Characters}.exe {Arguments} → executes the downloaded files.

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Este malware permanece como residente en memoria mediante la creación del/de los siguiente(s) proceso(s):

• %Windows%\{Microsoft .NET Directory}\AddInProcess32.exe
• %Windows%\{Microsoft .NET Directory}\CasPol.exe
• %Windows%\{Microsoft .NET Directory}\jsc.exe
• %Windows%\{Microsoft .NET Directory}\MSBuild.exe
• %Windows%\{Microsoft .NET Directory}\RegAsm.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Infiltra los archivos siguientes:

• %User Startup%\{24 Random Alphanumeric Characters}.bat → drops multiple times based on the number of downloaded files.
  • which contains the following code:
    • start "" "%AppDataLocal%\{24 Random Alphanumeric Characters}.exe {Arguments}

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %AppDataLocal%\{24 Random Alphanumeric Characters}.exe
• %User Profile%\Pictures\{24 Random Alphanumeric Characters}.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Robo de información

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}ger.com/1lyxz