Backdoor.Win32.ZARDOOR.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Wird möglicherweise von anderer Malware eingeschleust.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird möglicherweise von der folgenden Malware eingeschleust:

• Trojan.Win32.ZARLOADR.B

Installation

Fügt die folgenden Prozesse hinzu:

• cmd /c wmic csproduct get indentifyingnumber

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• 3e603a07-7b2d-4a15-afef-7e9a0841e4d5
• ThreadMutex12453
• rrx_{4 digit number}
• mutex_pro

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Encrypt and send data to its C2 server
• Execute remotely fetched PE payload
• Search for session ID
• Plugin exit
• Remote shellcode execution
• Delete itself
• Update C2 IP()IP/domain_name:port)
• Do nothing

Datendiebstahl

Folgende Daten werden gesammelt:

• Windows Version
• Operating System
• Hostname
• Computer name
• Username
• SID number

Andere Details

Es macht Folgendes:

• It needs a program that allows network applications to operate through a SOCKS or HTTPS proxy to establish its connection to its C2