Trojan.BAT.BATCLOAK.THJBDBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\Network48336Man.cmd

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra y ejecuta los archivos siguientes:

• Copies of %System%\WindowsPowershell\v1.0\powershell.exe :
  • {Malware Path}\{Malware Filename and Extension}.exe
  • %Application Data%\Network48336Man.cmd.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• {Malware Filename and Extension}.exe {Powershell Script to decrypt and reflectively load the malicious payload}
• powershell.exe $a = [System.Diagnostics.Process]::GetProcessById({Process ID});$b = $a.MainModule.FileName;$a.WaitForExit();Remove-Item -Force -Path $b;
• powershell.exe add-mppreference -exclusionpath @({List of Available Drives})
• "powershell.exe" [Console]::Title = ((Get-ScheduledTask).Actions.Execute -join '').Contains('{Malware Path}\{Malware Filename}')
• powershell.exe Register-ScheduledTask -TaskName 'OneNote 48336' -Trigger (New-ScheduledTaskTrigger -AtLogon) -Action (New-ScheduledTaskAction -Execute '%Application Data%\Network48336Man.cmd') -Settings (New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -Hidden -ExecutionTimeLimit 0) -RunLevel Highest -Force
• cmd /c ""%Application Data%\Network48336Man.cmd" "

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Técnica de inicio automático

La tarea programada ejecuta el malware con cada:

• Logon

Otros detalles

Hace lo siguiente:

• It reflectively loads the encrypted payloads.
• It bypasses the Antimalware Scan Interface (AMSI).
• Terminates if found being executed in a debugger.
• Sets the attribute of the copied powershell.exe ({Malware Path}\{Malware Filename and Extension}.exe) to HIDDEN.
• Deletes the copied powershell.exe after execution.
• It adds the available drives to the exclusion path list of Windows Defender.