Trojan.Win32.BANCTEIAN.D

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Malware File Path}\{Malware Filename}.exe ← legitimate x64 Zoom Installer, deleted afterwards
• %User Temp%\icsys.ico
• %User Temp%\icsys.ico.exe ← Malicious Payload file
• %Windows%\{6 Random Alpha-numeric Characters}.tmp
• %AppDataLocal%\{6 Random Alpha-numeric Characters}.tmp
• %Application Data%\{7 Random Alpha-numeric Characters}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\wininit.exe ← dropped copy of Payload file
• %AppDataLocal%\svchost.exe ← dropped copy of Payload file
• %Application Data%\spoolsv.exe ← dropped copy of Payload file

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega los procesos siguientes:

• {Malware File Path}\{Malware Filename}.exe ← Zoom Installer
• %User Temp%\icsys.ico.exe
• %Windows%\winit.exe
• %AppDataLocal%\svchost.exe
• %Application Data%\spoolsv.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
PromptOnSecureDesktop = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = userinit.exe, cmd.exe /c start %Windows%\wininit.exe

(Note: The default value data of the said registry entry is userint.exe.)

Rutina de descarga

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila los siguientes datos:

• OS Version
• Computer Name
• User Name

Otros detalles

Hace lo siguiente:

• It changes the icons of the dropped copies from a Zoom icon to a default executable icon.
• It sets the file attributes of the dropped copies to hidden.