Worm.VBS.ARROBON.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Removable Drive}\click para ver tus archivos (no borrar).lnk

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Startup%\system.vbe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Agrega los procesos siguientes:

• explorer.exe /e, {Removable Drive Letter}\f{Random Characters}
• %User Startup%\system.vbe restart

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Elimina las carpetas siguientes:

• Deletes all folders in the removable drive aside from the created folder of the malware

Propagación

Crea las carpetas siguientes en todas las unidades extraíbles:

• {Rermovable Drive Letter}\f{Random Characters}
• {Rermovable Drive Letter}\f{Random Characters}\temp

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {Removable Drive}\f{Random characters}\temp\system.vbe

Robo de información

Recopila los siguientes datos:

• Disk Drive information and Logical Drive Volumes present in the system

Otros detalles

Hace lo siguiente:

• Accepts the following arguments:
  • format {Malware Filename}.vbs {Argument 1} {Argument 2}
  • No argument → will execute the following:
  • chrome.exe -url https://{BLOCKED}71 --headless --remote-debugging-port=9222 --user-data-dir="%User Temp%\session" --disable-web-security --reduce-security-for-testing --allow-running-insecure-content
  • {Argument 1}
  • click → Will execute "explorer.exe /e, {Argument 2}" then drops a copy to %User Startup%\system.vbe
  • restart → Will proceed to the propagation routine
  • {Argument 2} → {Removable Drive}\f{Random Characters}
• Will not drop a copy of itself in the removable drives given by the following conditions:
  • Presence of click para ver tus archivos (no borrar).lnk in the removable drive
  • If the used space in the removable drive is greater than the Free Space
• Move and Copies all files and folder found in the removable drive to the following folders:
  • {Removable Drive}\f{random characters}