TrojanSpy.MSIL.NEGASTEAL.RJAHSPL

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\{Malware filename}.bat -> copy of itself
• {Malware Path}\{Malware filename}.bat.exe -> copy of powershell
• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• cmd.exe reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce /f /v {Malware filename} /d "%Application Data%\{Malware Name}.bat"
• cmd.exe attrib +s +h {Malware filename}.bat.exe
• cmd.exe {Malware filename}.bat.exe -wIn 1 -enC {Base64 Encoded Powershell}
• {Malware Path}\{Malware filename}.bat.exe "%System%\WindowsPowerShell\v1.0\powershell.exe" -ENC {Base64 Encoded Powershell}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It adds the following folders:
  
  • %Application Data%\eubJfun
• It adds the following registry entries for automatic execution every system startup:
  
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  eubJfun = %Application Data%\eubJfun\eubJfun.exe
• Steal the following information:
  
  • Time
  • Username
  • Computername
  • OS Version
  • CPU Architecture
  • IP Address
  • RAM
  • Browsers Credentials:
  
  
  • Opera
  • Yandex
  • Iriduim
  • Chromium
  • 7Star
  • Torch
  • Cool Novo
  • Chrome Plus
  • Kometa
  • Amigo
  • Brave
  • CentBrowser
  • Chedot
  • Orbitum
  • Sputnik
  • Comodo Dragon
  • Vivaldi
  • Citrio
  • Chrome
  • Uran
  • Liebao
  • Elements Browser
  • Epic Privacy
  • Coccoc
  • Sleipnir
  • QIP Surf
  • Coowon
  • Edge Chromium
  • Edge
  • Firefox
  • SeaMonkey
  • BlackHawk
  • Cyberfox
  • K-Meleon
  • IceCat
  • PaleMoon
  • IceDragon
  • Waterfox
  • Flock
  • Internet Explorer
  • UC Browser
  • Safari for Windows
  • QQ Browser
  • Falkon
  • Email Clients:
  
  
  • Thundebird
  • Postbox
  • Outlook
  • Windows Mail App
  • The Bat!
  • Becky!
  • IncrediMail
  • Eudora
  • Claws Mail
  • Foxmail
  • Opera Mail
  • Pocomail
  • eM client
  • Mailbird
  • FTPs:
  
  
  • FileZilla
  • WinSCP
  • CoreFTP
  • FlashFXP
  • FTP Navigator
  • SmartFTP
  • WS_FTP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Getter
  • VPNs:
  
  
  • OpenVPN
  • NordVPN
  • Private Internet Access
  • Instant Messaging Applications
  
  
  • Discord
  • Trillian
  • Psi/Psi+
  • VNCs:
  
  
  • RealVNC
  • TightVNC
  • TigerVNC
  • UltraVNC
  • Others:
  
  
  • MySQL Workbench
  • Internet Download Manager
  • Jdownloader
  • Credentials from the following vaults:
  
  
  • Windows Secure Note
  • Windows Web Password Credentials
  • Windows Credential Picker Protector
  • Web Credentials
  • Windows Credentials
  • Windows Domain Certificate Credential
  • Windows Domain Password Credential
  • Windows Extended Credential
• Send Stolen information to the following URL:
  
  • https://api.telegram.org/{BLOCKED}3632223:AAG5KHZDs7KWoaqTYx3lSyFlOdfD9vGegQo/sendDocument?chat_id={ChatID}
• Connect to the following URL to retrieve affected system's IP address:
  
  • https://{BLOCKED}i.{BLOCKED}y.org