TrojanSpy.Win32.FAREIT.UHBAZCLQU

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware se elimina tras la ejecución.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\37_630111.png
• %User Temp%\activityi;src=1268402;type=nflfa363;cat=homep672.html
• %User Temp%\nbkajklzajajaweajgka.aac
• %User Temp%\08-the_black_keys-hell_of_a_season.mp3
• %User Temp%\37_630111.png
• %User Temp%\ns{5 Random Characters}.tmp\timberings.dll → deleted afterwards
• %User Temp%\{Random Characters}.bat → deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• "{Malware File Path}\{Malware File Name}"
• cmd /c ""%User Temp%{7 Random Numbers}.bat" "{Malware File Path}\{Malware File Name}"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las carpetas siguientes:

• %User Temp%\ns{5 Random Characters}.tmp → deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\WinRAR
HWID = {Hex values}

Rutina de adware

Este malware se elimina tras la ejecución.

Otros detalles

It connects to the following possibly malicious URL:

• http://shared-30.{BLOCKED}ting.com/~streamkn/panel/gate.php