TrojanSpy.Win32.NOON.TIOIBEDF

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Program Files%\{random name 1}\{random name 2}.exe
• %User Temp%\{random name 1}\{random name 2}.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Agrega los procesos siguientes:

• {Malware filepath}\{Malware filename}

Crea las carpetas siguientes:

• %Program Files%\{random name 1}
• %User Temp%\{random name 1}
• %Application Data%\{random name 1}

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Este malware inyecta subprocesos en el/los siguiente(s) proceso(s) normal(es):

• explorer.exe

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• {Malware filepath}\{Malware filename} (The process added by the malware)

Robo de información

Recopila los siguientes datos:

• Keystrokes
• User's SID
• Operating system version
• Operating system architecture
• Username
• Clipboard content

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %Application Data%\{random characters}\{random characters}log.ini – Keystrokes
• %Application Data%\{random characters}\{random characters}logrg.ini - Google passwords
• %Application Data%\{random characters}\{random characters}logim.jpeg - Screenshot
• %Application Data%\{random characters}\{random characters}logrv.ini - Windows Vault passwords
• %Application Data%\{random characters}\{random characters}logri.ini - Internet Explorer passwords
• %Application Data%\{random characters}\{random characters}logrf.ini - Firefox passwords
• %Application Data%\{random characters}\{random characters}logrt.ini - Thunderbird passwords
• %Application Data%\{random characters}\{random characters}logrc.ini - Outlook passwords
• %Application Data%\{random characters}\{random characters}logcl.ini - Clipboard content
• %Application Data%\{random characters}\{random characters}logro.ini - Opera passwords

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://www.{BLOCKED}wling.com/o55/
• http://www.{BLOCKED}-one.com/o55/
• http://www.{BLOCKED}aylodge.com/o55/
• http://www.{BLOCKED}tureupdate.com/o55/
• http://www.{BLOCKED}t.com/o55/
• http://www.{BLOCKED}westtradingco.com/o55/
• http://www.{BLOCKED}spital.wtf/o55/
• http://www.{BLOCKED}s.agency/o55/
• http://www.{BLOCKED}fly.com/o55/
• http://www.{BLOCKED}wealthgroup.com/o55/
• http://www.{BLOCKED}h.com/o55/
• http://www.{BLOCKED}52.com/o55/
• http://www.{BLOCKED}l.com/o55/