TrojanSpy.MSIL.GOLROTED.BABDC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Roba determinada información del sistema y/o del usuario. Roba información confidencial como nombres de usuario y contraseñas utilizadas para juegos concretos.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\WindowsUpdate.exe
• %Application Data%\pid.txt
• %Application Data%\pidloc.txt

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %Application Data%\WindowsUpdate.exe

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 1

Robo de información

Roba la siguiente información:

• Bitcoin wallet
• List of AV Products
• List of Firewall Products
• Language
• OS Name
• OS Version
• OS Platform
• Computer Name
• Processor ID

Roba información confidencial como nombres de usuario y contraseñas utilizadas para los siguientes juegos:

• Minecraft credentials
• RuneScape Bank Pins

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %User Temp%\wallet.dat <- file that holds the user's bitcoin currency
• %User Temp%\holdermail.txt <- contains the stolen email credentials
• %User Temp%\holderwb.txt <-contains the stolen information from web browsers

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Este malware envía los datos que recopila a las siguientes direcciones de correo electrónico a través de SMTP:

• {BLOCKED}y@brightsteelfactory.com

Otros detalles

Hace lo siguiente:

• The email has the following characteristics:
  • Uses any of the following strings as it's subject:
  • HawkEye Keylogger | BitCoin Stealer | {Computer Name} | {Processor ID}
  • HawkEye Keylogger | MineCraft Stealer | {Computer Name} | {Processor ID}
  • HawkEye Keylogger | RuneScape Stealer | {Computer Name} | {Processor ID}
  • HawkEye Keylogger | Keylog Records | {Computer Name} | {Processor ID}
  • HawkEye Keylogger | Execution Confirmed | {Computer Name} | {Processor ID}
  • HawkEye Keylogger | Stealer Records | {Computer Name} | {Processor ID}
  • The email body contains the stolen information
  • The email uses 5PZK@M8dou@H as the password