Backdoor.Win64.URSNIF.THIBGBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información. However, as of this writing, the said sites are inaccessible.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{Two Registry Key Names Found from HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Execute arbitrary commands

Se conecta a los sitios Web siguientes para enviar y recibir información:

• https://{BLOCKED}xt.top/index.html

However, as of this writing, the said sites are inaccessible.

Robo de información

Recopila los siguientes datos:

• Checksum of username
• Cheksum of creation time of %System Root%\pagefile.sys or %System Root%\hiberfil.sys
• Checksum of malware file name
• Checksum of malware file

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Otros detalles

Hace lo siguiente:

• It generates its mutex using the registry keys it gathered from from HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control.