TrojanSpy.MSIL.QUIETSIEVE.LSA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %AppDataLocal%\IconsCache.db -> contains hashed equivalents of the unique files to steal
• %User Temp%\ModeAuto\icons\{current date in YYYY-MM-DD-HH-MM format}.jpg -> screenshot of the current state of the machine

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las carpetas siguientes:

• %User Temp%\ModeAuto\icons

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\lCHBaUZcohRgQcOfdIFaf

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Remote code execution
• Capture screenshots

Robo de información

Recopila los siguientes datos:

• Computer name
• User name
• Volume Serial Number

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}.{BLOCKED}.92.102/{Random alphanumeric characters}

Hace lo siguiente:

• It steals files with the following extensions:
  • .doc
  • .docx
  • .xls
  • .rtf
  • .odt
  • .txt
  • .jpg
  • .pdf
  • .ps1
• It steals files with the following extensions if they are seen on folders with 'Desktop' or 'Documents' in its folder name:
  • .7z
  • .rar
  • .zip