Analysé par: Janus Agcaoili   
 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Worm

  • Destructif:
    Non

  • Chiffrement:
    Non

  • In the wild::
    Oui

  Overview

Voie d'infection: Verbreitet sich über Netzwerkfreigaben, Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware


  Détails techniques

File size: 4,745,536 bytes
File type: EXE
Memory resident: Oui
Date de réception des premiers échantillons: 12 mai 2017
Charge malveillante: Drops files, Tries to gain access to password protected networks

Installation

Schleust die folgenden Dateien ein und führt sie aus:

  • %Windows%\lsasvs.exe - detected as BKDR_TORLOAD.A, installs and executes the Tor client (lsass.bin)

Autostart-Technik

Fügt die folgenden Dienste hinzu und führt sie aus:

  • ServiceName: shcservice
    DisplayName: Windows SHC Service.
    ImagePath: cmd.exe /c “net share C$=C:\”. <- This makes the C drive of the remote machine shared
  • ServiceName: WUpdator
    DisplayName: Windows Updator
    ImagePath: C:\Windows\svchost.exe -> This will execute its copy in the remote machine

Verbreitung

Verwendet die folgenden Dateinamen für die in die Freigabenetzwerke eingeschleusten Kopien:

  • %Windows%\svchost.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Einschleusungsroutine

Schleust die folgenden Dateien ein:

  • %Windows%\lsass.bin <- contains the Tor Client and its components

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

  Solutions

Moteur de scan minimum: 9.850
First VSAPI Pattern File: 13.412.02
First VSAPI Pattern Release Date: 17 mai 2017
VSAPI OPR Pattern Version: 13.413.00
VSAPI OPR Pattern Release Date: 18 mai 2017

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Diesen Malware-Dienst deaktivieren

[ learnMore ]
    • shcservice
    • WUpdator

Step 4

Im abgesicherten Modus neu starten

[ learnMore ]

Step 5

Malware-Dateien entfernen, die hinterlassen/heruntergeladen wurden von WORM_PEPEX.MJSP


Participez à notre enquête!