Backdoor.VBS.ASYNCRAT.B

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\{Random}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\Good.xml → Uncompiled Loader.
• %User Temp%\{Random}\{Random}.dll → Compiled Loader.
• %User Temp%\{Random}\{Random}.tmp
• %User Temp%\{Random}\{Random}.0.cs
• %User Temp%\{Random}\{Random}.cmdline
• %User Temp%\{Random}\{Random}.out
• %User Temp%\{Random}\{Random}.err
• %User Temp%\{Random}\{Random}.pdb
• %User Temp%\RES{4 Characters}.tmp
• %User Temp%\CSC{4 Characters}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• %Windows%\Microsoft.NET\Framework\{version}\MSBuild.exe %User Temp%\Good.xml
• %Windows%\Microsoft.NET\Framework\{version}\csc.exe /noconfig /fullpaths @"%User Temp%\{Random}\{Random}.cmdline"
• %Windows%\Microsoft.NET\Framework\{version}\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 %User Temp%\RES{4 Characters}.tmp %User Temp%\CSC{4 Characters}.tmp
• %Windows%\Microsoft.NET\Framework\{version}\RegSvcs.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• AsyncMutex_6SI8OkPnk

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• %Windows%\Microsoft.NET\Framework\{version}\RegSvcs.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\Startup.vbs → Script to compile Loader.

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Elimina las carpetas siguientes:

• %User Temp%\{Random} → After use with contents.

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Ping Test
• Execute Sent Plugin

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}daddy.ddns.net:5946

Robo de información

Tras la ejecución de la aplicación afectada, recopila la siguiente información:

• Hardware ID generated from processor count, username, computer name, OS version, and total size of the system directory
• Username
• Operating System and Architecture
• Current File Path of Malware
• Current Malware Version
• IsAdmin
• Active Window Title
• Installed Antivirus Products
• Installation Time