HackTool.MSIL.Sharpdump.YPCKQT
HackTool:MSIL/SharpDump (MICROSOFT)
Windows
Tipo de malware
Hacking Tool
Destructivo?
No
Cifrado
In the Wild:
Sí
Resumen y descripción
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.
Detalles técnicos
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Rutina de puerta trasera
Ejecuta los comandos siguientes desde un usuario remoto malicioso:
- clr_dumplsass → Dump LSASS memory. It can contain a directory where the dumped LSASS is being stored, or, by default, it will be saved in %systemroot%\Temp
- clr_pwd → Get current Directory
- clr_ls → List current directory or the argument
- clr_cd → Set the current directory with a custom PATH parameter.
- clr_ping → Ping command
- clr_rm → Delete specified file
- clr_cat → Get content of specified file
- clr_ps → List running processes
- clr_netstat → netstat command to get active connections
- clr_getav → List installed AV products
- clr_rdp → Enable RDP on device and return the RDP port number
- clr_adduser → Creates a user under Administrators group with custom username and password
- clr_cmd → Execute custom commands
- clr_exec → Executes a file with specified argument.
- It accepts the following parameter:
- "-p" - process name
- "-a" - argument of process
- If it does not contain '-p', it works the same way as clr_cmd.
- It accepts the following parameter:
- clr_efspotato → Local Privilege Escalation using EfsPotato
- it accepts the following parameters:
- "-p" - target process
- "-a" - argument
- it accepts the following parameters:
Otros detalles
Hace lo siguiente:
- It is capable to use PingCastle - a tool that can be used to collect information required for attacks in Active Directory environments
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 3
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como HackTool.MSIL.Sharpdump.YPCKQT En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Rellene nuestra encuesta!