Backdoor.MSIL.NANOCORE.TIAOODED

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Recopila determinada información del equipo afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Common Startup%\Chrome.js -> executes the malware
• %Common Startup%\Chrome.lnk -> executes the malware
• Admin Privilege:
  
  • %Program Files%\{String 1}{String 3}\{String 1}{String 2}.exe
• User Privilege:
  
  • %Application Data%\{GUID}\{String 1}{String 3}\{String 1}{String 2}.exe

(Nota: %Common Startup% es la carpeta de inicio común del sistema, que en el caso de Windows 98 y ME suele estar en C:\Windows\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\All Users\Programas\Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio).

Crea las carpetas siguientes:

• %Application Data%\{GUID}
• %Application Data%\{GUID}\PCI Service
• %Application Data%\{GUID}\Logs
• %Application Data%\{GUID}\Logs\{UserName}
• %Application Data%\Robocopy
• Admin Privilege:
  
  • %Program Files%\{String 1}{String 2}
• User Privilege:
  
  • %Application Data%\{String 1}{String 2}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String 1}{String 3} = %Program Files%\{String 1}{String 3}\{String 1}{String 2}.exe → Admin Privilege

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String 1}{String 3} = %Application Data%\{GUID}\{String 1}{String 3}\{String 1}{String 2}.exe → User Privilege

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Manage its backdoor file:
  
  • Update itself
  • Restart connection
  • Disconnect
  • Terminate itself
  • Uninstall itself
• System Control:
  
  • Restart machine
  • Shutdown machine
  • Lock machine
  • Browse files and folders
  • Task Manager
  • Edit registry
  • Remote console (Command Prompt)
  • Remote execute a file
  • Remote execute a script (Batch, HTML, VBS, Python, Java, PHP)
  • Remote control the machine
  • Remote control mouse
  • Recover browser passwords
  • Log Keystrokes
  • View the screen/webcam
  • Listen to audio/microphone
  • Send Messages / Chat with the malicious user
  • Swap/Unswap mouse buttons
  • Open/Close CD/DVD Tray

Rutina de infiltración

Infiltra los archivos siguientes:

• %Application Data%\{GUID}\catalog.dat
• %Application Data%\{GUID}\run.dat
• %Application Data%\{GUID}\settings.bin
• %Application Data%\{GUID}\Logs\{user name}\KB_{Random numbers}.dat
• %Application Data%\{GUID}\task.dat
• %Application Data%\{GUID}\storage.dat

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Robo de información

Recopila la siguiente información del equipo afectado:

• Computer Name
• User Name
• CPU Usage
• Available and Free Memory
• Active Window Title
• Operating System Version
• System Type (32-bit or 64-bit)
• Malware Filename
• Installed Anti-Virus/Anti-Spyware

Otros detalles

Hace lo siguiente:

• String 1 can be any of the following:
  
  • dhcp
  • upnp
  • tcp
  • udp
  • saas
  • iss
  • smtp
  • dos
  • dpi
  • pci
  • scsi
  • wan
  • lan
  • nat
  • imap
  • nas
  • ntfs
  • wpa
  • dsl
  • agp
  • arp
  • ddp
  • dns
• String 2 can be any of the following:
  
  • ss
  • mon
  • Mgr
  • sv
  • svc
  • host
• String 3 can be any of the following:
  
  • Subsystem
  • Monitor
  • Manager
  • Service
  • Host
• It will drop %Common Startup%\Chrome.js once the following files are found on the affected computer:
  
  • C:\Program Files\AVAST Software\Avast\avastIU.exe
  • C:\Program Files (x86)\AVAST Software\Avast\avastIU.exe
  • C:\Program Files\AVG\Antivirus\AVGUI.exe
  • C:\Program Files (x86)\AVG\Antivirus\AVGUI.exe
• It will drop %Common Startup%\Chrome.lnk once the following directories are found on the affected computer:
  
  • C:\Program Files\Kaspersky Lab\
  • C:\Program Files (x86)\Kaspersky Lab\

(Nota: %Common Startup% es la carpeta de inicio común del sistema, que en el caso de Windows 98 y ME suele estar en C:\Windows\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\All Users\Programas\Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio).