TrojanSpy.PS1.NEGASTEAL.FBV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %ProgramData%\TUKHAMTASSER\Sexology.~!!!!!!!!!!!!!!!!~ ← deleted afterwards
• %ProgramData%\TUKHAMTASSER\NIKKIL_LORY.vbs ← later moved to %User Startup%\NIKKIL_LORY.vbs
• %System Root%\drivers\etc\hosts

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Agrega los procesos siguientes:

• "%System%\net.exe" user {Malware Created User} /add
• "%System%\net.exe" user {Malware Created User} {Password}
• "%System%\net.exe" localgroup administrators {Malware Created User} /add
• "%System%\net.exe" localgroup "Remote Desktop Users" {Malware Created User} /add
• "%System%\net.exe" stop WdNisSvc
• "%System%\netsh.exe" advfirewall set allprofiles state off
• "%System%\schtasks.exe" /create /sc MINUTE /mo 187 /tn clomepe /F /tr "wscript /nologo %ProgramData%\TUKHAMTASSER\NIKKIL_LORY.vbs"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Crea las carpetas siguientes:

• %ProgramData%\TUKHAMTASSER

Se ejecuta y, a continuación, se elimina.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32
(Default) = C:\IDontExist.dll

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• WdNisSvc
• WinDefend

Robo de información

Recopila los siguientes datos:

• Computer Name
• User Name
• CPU Information
• RAM Information
• Network Adapter Configuration
• IP Address
• Current time
• It gathers credentials from the following:
  • Browsers (User Data):
    • 360 Browser
    • 7Star
    • Amigo
    • BlackHawk
    • Brave
    • CentBrowser
    • Chedot
    • Chrome
    • Chromium
    • Citrio
    • Coccoc
    • Comodo Dragon
    • Cool Novo
    • Coowon
    • CyberFox
    • Edge Chromium
    • Elements Browser
    • Epic Privacy
    • Falkon Browser
    • Firefox
    • Flock
    • Flock Browser
    • IceCat
    • IceDragon
    • IE/Edge
    • Iridium Browser
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Opera Browser
    • Orbitum
    • PaleMoon
    • QIP Surf
    • QQ Browser
    • Safari for Windows
    • SeaMonkey
    • Sleipnir 6
    • Sputnik
    • Torch Browser
    • UC Browser
    • Uran
    • Vivaldi
    • WaterFox
    • Yandex
  • Email Clients:
    • Becky!
    • Claws Mail
    • eM client
    • Eudora
    • Foxmail
    • IncrediMail
    • Mailbird
    • Opera Mail
    • Outlook
    • Pocomail
    • Postbox
    • The Bat!
    • Thunderbird
    • Windows Mail App
  • FTPs:
    • cftp
    • CoreFTP
    • FileZilla
    • FlashFXP
    • FTP Commander
    • FTP Getter
    • FTP Navigator
    • SmartFTP
    • WinSCP
    • WS_FTP
  • VPNs:
    • NordVPN
    • OpenVPN
    • Private Internet Access
  • Instant Messaging Applications:
    • Discord
    • Psi/Psi+
    • Trillian
  • Other Applications:
    • Internet Download Manager
    • Jdownloader 2.0
    • MySQL Workbench
    • Apple Keychain
  • VNCs:
    • RealVNC 4.x
    • RealVNC 3.x
    • TightVNC
    • TigerVNC
    • UltraVNC
  • Vault:
    • Web Credentials
    • Windows Credential Picker Protector
    • Windows Credentials
    • Windows Domain Certificate Credential
    • Windows Domain Password Credential
    • Windows Extended Credential
    • Windows Secure Note
    • Windows Web Password Credential

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://{BLOCKED}d.com/api/webhooks/1147617604740075550/qMN4dDXG-qUd5FVw6gluS-KM8pkIs8V5dUDV8yLhHwfqs5x6Q7TeJE-qmCsn9sgTZSpX

Otros detalles

Hace lo siguiente:

• It bypasses Antimalware Scan Interface (AMSI).
• It terminates, disables, and deletes the Windows Defender service if found running.
• It utilizes net.exe to create a user and add this to two local groups:
  • administrators
  • Remote Desktop Users
• It turns off the Windows Firewall for all network profiles.
• It modifies Windows Defender's settings:
  • Adds the following to the exclusion preference:
    • File Extensions:
      • .bat
      • .ppam
      • .xls
      • .docx
      • .bat
      • .exe
      • .vbs
      • .js
    • Paths:
      • C:\
      • D:\
      • E:\
    • Processes:
      • explorer.exe
      • kernel32.dll
      • aspnet_compiler.exe
      • cvtres.exe
      • CasPol.exe
      • csc.exe
      • Msbuild.exe
      • ilasm.exe
      • InstallUtil.exe
      • jsc.exe
      • Calc.exe
      • powershell.exe
      • rundll32.exe
      • conhost.exe
      • Cscript.exe
      • mshta.exe
      • cmd.exe
      • DefenderisasuckingAntivirus
      • wscript.exe
    • IP Address:
      • 127.0.0.1
  • Configures the following:
    • Threat ID Default Action
    • Attack Surface Reduction (ASR) rules
    • Default action for high-threat items
    • Default action for moderate-threat items
    • Default action for low-threat items
    • Default action for severe-threat items
  • Disables:
    • Intrusion Prevention System
    • Information Protection feature
    • Real-time monitoring
    • Scanning of scripts for malware or malicious content
    • Controlled folder access
    • Reporting to the Microsoft Active Protection Service (MAPS)
    • Sample submissions to Microsoft
    • Protection against Potentially Unwanted Applications (PUAs)
    • Scheduled scans
  • Enables:
    • Audit mode for Network Protection