TrojanSpy.Win32.EMOTET.JSHSMM

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• {Malware file path}\{Malware file name}.exe --{8 random characters}
• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
  • %System%\{String1}{String2}.exe --{8 random characters}
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 random characters}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Crea las carpetas siguientes:

• If the sample is executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\I{Volume serial number}
• Global\M{Volume serial number}
• Global\E{Volume serial name}

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

Robo de información

Recopila los siguientes datos:

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

Otros detalles

Hace lo siguiente:

• It creates the service for persistence if the sample is executed with administrative privileges, otherwise it uses an autorun registry.
• It combines any two of the following strings and uses it as its filename "{String1}{String2}":
  • duck
  • mfidl
  • targets
  • ptr
  • khmer
  • purge
  • metrics
  • acc
  • inet
  • msra
  • symbol
  • driver
  • sidebar
  • restore
  • msg
  • volume
  • cards
  • shext
  • query
  • roam
  • etw
  • mexico
  • basic
  • url
  • createa
  • blb
  • pal
  • cors
  • send
  • devices
  • radio
  • bid
  • format
  • thrd
  • taskmgr
  • timeout
  • vmd
  • ctl
  • bta
  • shlp
  • avi
  • exce
  • dbt
  • pfx
  • rtp
  • edge
  • mult
  • clr
  • wmistr
  • ellipse
  • vol
  • cyan
  • ses
  • guid
  • wce
  • wmp
  • dvb
  • elem
  • channel
  • space
  • digital
  • pdeft
  • violet
  • thunk
• It deletes outdated copies of itself with a combination of any two of the following strings as its file name:
  • texas
  • func
  • deploy
  • run
  • leel
  • stuck
  • def
  • print
  • hal
  • monthly
  • pdf
  • char
  • netsh
  • memo
  • trns
  • rds
  • maker
  • more
  • textto
  • chunker
  • mailbox
  • compon
  • shades
  • scan
  • non
  • wsat
  • speed
  • publish
  • manual
  • hant
  • inbox
  • malert
  • zap
  • fill
  • angle
  • wrap
  • boost
  • cors
  • iplk
  • sitka
  • wow
  • prints
  • acquire
  • wiz
  • smo
  • footer
  • attrib
  • group
  • appid
  • xcl
  • sensor
  • methods
  • ipmi
  • raw
  • title
  • nic
  • ias
  • lua
  • dispid
  • special
  • serial
  • wsa
  • tcg
  • msp