Trojan.Win32.COPPERPHISH.FV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\Microsoft\index.html → deleted afterwards
• %Application Data%\Microsoft\logo.png → deleted afterwards
• %Application Data%\Microsoft\qrcode.png → deleted afterwards
• %Windows%\Tasks\{16 Characters Generated}.job → deleted afterwards

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• %System%\rundll32.exe
• cmd /c ping 127.0.0.1 -n 3 & del "{Malware Path}\{Malware Filename}.exe"

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Wird ausgeführt und löscht sich dann selbst.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\signature_netcheck

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\{16 Characters Generated}

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\{16 Characters Generated}
0 = {Hex Values}

Andere Details

Es macht Folgendes:

• It deletes the default route from the IP routing table, disabling the communication to the Internet.
• It starts the RpcSs Service (Remote Procedure Call Service) if not running.
• It starts the Task Scheduler Service if not running.
• It checks for the existence of the following window:
  • Window class: ThunderRT6FormDC
    Window Name: Operators Network Error Check
  • If not found, it creates the following process in SUSPENDED state and injects code to it: %System%\rundll32.exe
• It shows the following "Operators Network Error Check" window, luring the user to scan the QR:
  {copperphish.png}
• The QR code directs to the following phishing website:
  • https://{BLOCKED}toonami.com → refer to Trojan.HTML.PHISH.FV
• It creates a named pipe and connects to it.
  • \.\pipe\microsoft_shutdown_network
• It reads data from the created pipe and waits for the message signalling that a correct confirmation code is entered.
• Once a correct confirmation code is supplied
  • Disconnects from the named pipe.
  • Restores the default route of the IP routing table.
  • Deletes the created scheduled task.
  • Closes the "Operators Network Error Check" window.
  • Deletes the following files:
    • %Application Data%\Microsoft\index.html
    • %Application Data%\Microsoft\logo.png
    • %Application Data%\Microsoft\qrcode.png
  • Sends a ping to {BLOCKED}.{BLOCKED}.{BLOCKED}.1
  • Deletes itself.