TrojanSpy.Win32.TRICKBOT.AF

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{Random Folder Name}\{Random File Name.exe}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra los archivos siguientes:

• %Application Data%\{Random Folder Name}\info.dat
• %Application Data%\{Random Folder Name}\Modules\networkDll32
• %Application Data%\{Random Folder Name}\Modules\systeminfo32
• %Application Data%\{Random Folder Name}\FAQ
• %Application Data%\{Random Folder Name}\Modules\injectDll32
• %Application Data%\{Random Folder Name}\README.md
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\dinj
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\Dpost
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\sinj
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32
• %Application Data%\{Random Folder Name}\Modules\importDll32
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32_configs\mailconf
• %Application Data%\{Random Folder Name}\Modules\networkDll32_configs\dpost

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• svchost.exe
• %System%\cmd.exe /c sc stop WinDefend
• %System%\cmd.exe /c sc delete WinDefend
• %System%\cmd.exe /c powershell Set-MpPreference -DisableRealtimeMonitoring $true
• %Application Data%\{Random Folder Name}\{Random File Name}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las carpetas siguientes:

• %Application Data%\{Random Folder Name}
• %Application Data%\{Random Folder Name}\Modules
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs
• %Application Data%\{Random Folder Name}\Modules\networkDll32_configs
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32_configs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

La tarea programada ejecuta el malware con cada:

• Task Name: Msnetc
  • Task Trigger: System startup & Every 10 minutes since first triggered.
  • Task command: %Application Data%\ncssd\{malware file name}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).