TrojanSpy.Win32.BOYCHI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %AppDataLocal%\Microsoft\Outlooka\

Infiltra los archivos siguientes:

• %AppDataLocal%\Microsoft\Outlooka\nlashine.ini
• %AppDataLocal%\Microsoft\Outlooka\SysInfo_UP_22_16_11.pdf
• %AppDataLocal%\Microsoft\Outlooka\UP{Driver Letter}

Agrega los procesos siguientes:

• "cmd /c systeminfo >> %AppDataLocal%\MICROS~1\Outlooka\SysInfo_UP_22_16_11.pdf"
• "powershell $dir = 'C:\Users\DYITUS~1\AppData\Local\MICROS~1\Outlooka\';$gps = @('A','B','C','D','E','F','G','H','I','H','K','L','M','N','O','P','Q','R','S','T','U','V','W','X','Y','Z');foreach ($gp in $gps){$drv = $gp + ':\';if([System.IO.Directory]::Exists($drv)){$path = $dir + '\UP' +$gp;tree /f "$drv" | Out-File -Encoding default-FilePath $path-Width 5000;} }
• "%System%\tree.com" /f {Available Driver Letter}:\

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\rdpclipe.exe.lnk
• %User Startup%\AWastUI.exe.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Rutina de descarga

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila los siguientes datos:

• System information.
• All file and folder names in every available drives.

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.48/ESOK/post2.php

Otros detalles

Hace lo siguiente:

• The malware attempts to establish a connection with a server using the GET command in order to verify its status.
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.48/ESOK/up2.php