Trojan.LNK.EMOTET.YJCD2
Windows
Tipo di minaccia informatica:
Trojan
Distruttivo?:
No
Crittografato?:
In the wild::
Sì
Panoramica e descrizione
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.
Dettagli tecnici
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Infiltra los archivos siguientes:
- %User Temp%\rzsPrHsBem.ps1
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
)Agrega los procesos siguientes:
- %System%\cmd.exe /v:on /c {filename}.lnk||goto&p^o^w^e^r^s^h^e^l^l.e^x^e -c "&{[System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('{encoded base 64}')) > "%User Temp%\rzsPrHsBem.ps1"; powershell -executionpolicy bypass -file "%User Temp%\rzsPrHsBem.ps1"; Remove-Item -Force "%User Temp%\rzsPrHsBem.ps1"
- powershell.exe -c "&{[System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('{encoded base 64}')) > "%User Temp%\rzsPrHsBem.ps1"
- %System%\WindowsPowerShell\v1.0\powershell.exe" -executionpolicy bypass -file %User Temp%\rzsPrHsBem.ps1
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
)Otras modificaciones del sistema
Elimina los archivos siguientes:
- %User Temp%\rzsPrHsBem.ps1
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
)Rutina de descarga
Guarda los archivos que descarga con los nombres siguientes:
- %User Temp%\pFXxlnhRVh.pRK
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
)Otros detalles
It connects to the following possibly malicious URL:
- http://{BLOCKED}technologies.com.pk/apitest/1r8uV/
- http://{BLOCKED}u.vn/components/gMXyb7/
- https://www.{BLOCKED}teldiligencias.com.mx/api/ga/
- http://www.{BLOCKED}te.cmru.ac.th/web53photo/anKeOTOIYXxzOtlIS9D/
- http://{BLOCKED}rup.dk/modlogan/DAbeNM/
- http://{BLOCKED}e.me/wp-content/DTN/