Worm.VBS.ARROBON.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• {Removable Drive}\click para ver tus archivos (no borrar).lnk

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Startup%\system.vbe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• explorer.exe /e, {Removable Drive Letter}\f{Random Characters}
• %User Startup%\system.vbe restart

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Ordner:

• Deletes all folders in the removable drive aside from the created folder of the malware

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

• {Rermovable Drive Letter}\f{Random Characters}
• {Rermovable Drive Letter}\f{Random Characters}\temp

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {Removable Drive}\f{Random characters}\temp\system.vbe

Datendiebstahl

Folgende Daten werden gesammelt:

• Disk Drive information and Logical Drive Volumes present in the system

Andere Details

Es macht Folgendes:

• Accepts the following arguments:
  • format {Malware Filename}.vbs {Argument 1} {Argument 2}
  • No argument → will execute the following:
  • chrome.exe -url https://{BLOCKED}71 --headless --remote-debugging-port=9222 --user-data-dir="%User Temp%\session" --disable-web-security --reduce-security-for-testing --allow-running-insecure-content
  • {Argument 1}
  • click → Will execute "explorer.exe /e, {Argument 2}" then drops a copy to %User Startup%\system.vbe
  • restart → Will proceed to the propagation routine
  • {Argument 2} → {Removable Drive}\f{Random Characters}
• Will not drop a copy of itself in the removable drives given by the following conditions:
  • Presence of click para ver tus archivos (no borrar).lnk in the removable drive
  • If the used space in the removable drive is greater than the Free Space
• Move and Copies all files and folder found in the removable drive to the following folders:
  • {Removable Drive}\f{random characters}