Backdoor.Win32.ZARDOOR.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Puede haberlo infiltrado otro malware.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Puede haberlo infiltrado el malware siguiente:

• Trojan.Win32.ZARLOADR.B

Instalación

Agrega los procesos siguientes:

• cmd /c wmic csproduct get indentifyingnumber

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 3e603a07-7b2d-4a15-afef-7e9a0841e4d5
• ThreadMutex12453
• rrx_{4 digit number}
• mutex_pro

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Encrypt and send data to its C2 server
• Execute remotely fetched PE payload
• Search for session ID
• Plugin exit
• Remote shellcode execution
• Delete itself
• Update C2 IP()IP/domain_name:port)
• Do nothing

Robo de información

Recopila los siguientes datos:

• Windows Version
• Operating System
• Hostname
• Computer name
• Username
• SID number

Otros detalles

Hace lo siguiente:

• It needs a program that allows network applications to operate through a SOCKS or HTTPS proxy to establish its connection to its C2