TrojanSpy.MSIL.NEGASTEAL.RJAHSPC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
• %Programs%\firefox\mozilla.exe → copy of itself

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ENC {base64 encrypted strings}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
mozilla = %Programs%\firefox\mozilla.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASAPI32
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASMANCS
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• https://{BLOCKED}am.org/{BotToken}:AAEz6ZTkghx2RsdTxeeE-sDulPHc5WQblVg/sendDocument?chat_id={ChatID}

Robo de información

Recopila los siguientes datos:

• It gathers information from:
  • Time
  • Username
  • Computer Name
  • OS Version
  • CPU Architecture
  • RAM
  • IP Address
  
  
  • Browsers
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • ChromePlus
  • Chromium
  • Citrio
  • Comodo Dragon
  • Comodo IceDragon
  • Coowon
  • Cyberfox
  • Cốc Cốc Browser
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock
  • Icecat
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao
  • Microsoft Edge
  • Mozilla Firefox
  • Opera Stable
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • SeaMonkey
  • Sleipnir
  • Sputnik
  • Torch
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex
  
  
  • Emails
  • Becky!
  • Claws-mail
  • eM Client
  • Eudora
  • Foxmail
  • IncrediMail
  • Mailbird
  • Opera Mail
  • Outlook
  • Pocomail
  • Postbox
  • The Bat!
  • Thunderbird
  
  
  • FTPs
  • cftp
  • COREFTP
  • FileZilla
  • FlashFXP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Navigator
  • FTPGetter
  • SmartFTP
  • WinSCP
  • WS_FTP
  
  
  • VPNs
  • NordVPN
  • OpenVPN
  • Private Internet Access
  
  
  • VNCs
  • RealVNC
  • TigerVNC
  • TightVNC
  • UltraVNC
  
  
  • Instant Messaging Applications
  • Discord
  • Psi/Psi+
  • Trillian
  
  
  • Others
  • JDownloader
  • MySQL Workbench
  • Windows Credentials
  • Windows Vault

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASAPI32

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASMANCS