Backdoor.MSIL.BLADABINDI.POWRHV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = {Backdoor directory}

Infiltra los archivos siguientes:

• %User Startup%\Windows.exe → renamed backdoor file.
• %Application Data%\Microsoft\Windows\Templates\Windows.lnk → shortcut directing to the backdoor file.
• %Application Data%\Microsoft\Windows\Templates\Windows.exe → renamed backdoor file.
• %User Startup%\Windows.lnk → shortcut redirecting to the backdoor file.

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download a file
• Execute a file
• Update files
• Take a screenshot of user's screen
• Install and execute plugin
• Uninstall - remove files and registries associated with the malware
• Terminate malware process
• Monitor user through system camera

However, as of this writing, the said sites are inaccessible.

Robo de información

Recopila los siguientes datos:

• Information from active windows (text information)
• Driver information from the system
• System Volume information
• Volume Serial Number
• Machine Name
• User Name
• Date of Infection
• Operating System
• Operating System Service Pack
• System Type (32-bit/64-bit)
• Values of HKEY_CURRENT_USER\Environment

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER
di = !

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

Hace lo siguiente:

• It uploads system information including system name, host, and port to a supplied Discord link/channel.