TSPY_EMOTET.TTIBBJL

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\Microsoft\Windows\{string 1}{string 2}.exe ← drops the file here if it has no admin privileges
• %System%\{string 1}{string 2}.exe ← drops the file here if it has admin privileges
  where {string 1} and {string 2} is a combination of any of the following strings:
  • betest
  • stock
  • headers
  • chart
  • drop
  • member
  • strip
  • ldr
  • con
  • reports
  • facts
  • shlp
  • ftp
  • action
  • defrag
  • dest
  • teal
  • smx
  • ait
  • srv
  • steps
  • display
  • send
  • cee
  • wrap
  • light
  • text
  • boxes
  • turned
  • tag
  • ipxrip
  • max
  • lab
  • hotspot
  • svc
  • umx
  • trouble
  • detect
  • with
  • brack
  • bits
  • wsm
  • sdk
  • stg
  • private
  • only
  • bundle
  • trns
  • atalk
  • game
  • sel
  • region
  • sky
  • boldina
  • tiny
  • logon
  • uart
  • pbda
  • android
  • cycle
  • just
  • unicode
  • arr
  • perf

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• M{volume serial number}
• I{volume serial number}
• E{volume serial number}

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string 1}{string 2}
ImagePath = %System%\{string 1}{string 2}.exe
where {string 1} and {string 2} is the same name as the drop file

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string 1}{string 2} = %AppDataLocal%\Microsoft\Windows\{string 1}{string 2}.exe

Robo de información

Recopila los siguientes datos:

• Machine Name
• System Locale
• OS Version
• Running Processes

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.54.171:8080/
• http://{BLOCKED}.{BLOCKED}.214.210:443/
• http://{BLOCKED}.{BLOCKED}.146.226/
• http://{BLOCKED}.{BLOCKED}.43.110:8080/
• http://{BLOCKED}.{BLOCKED}.170.222:8080/
• http://{BLOCKED}.{BLOCKED}.173.247:8080/
• http://{BLOCKED}.{BLOCKED}.164.23:8080/
• http://{BLOCKED}.{BLOCKED}.167.185:443/
• http://{BLOCKED}.{BLOCKED}.113.145:4143/
• http://{BLOCKED}.{BLOCKED}.61.90/
• http://{BLOCKED}.{BLOCKED}.17.209/
• http://{BLOCKED}.{BLOCKED}.43.125:7080/
• http://{BLOCKED}.{BLOCKED}.246.242:443/
• http://{BLOCKED}.{BLOCKED}.78.9:443/
• http://{BLOCKED}.{BLOCKED}.60.206:443/
• http://{BLOCKED}.{BLOCKED}.184.52/
• http://{BLOCKED}.{BLOCKED}.104.194/
• http://{BLOCKED}.{BLOCKED}.168.27:53/
• http://{BLOCKED}.{BLOCKED}.168.27:8443/
• http://{BLOCKED}.{BLOCKED}.218.192:4143/
• http://{BLOCKED}.{BLOCKED}.116.230:990/
• http://{BLOCKED}.{BLOCKED}.176.48:443/
• http://{BLOCKED}.{BLOCKED}.127.246:443/
• http://{BLOCKED}.{BLOCKED}.49.37:8080/
• http://{BLOCKED}.{BLOCKED}.175.215:8090/
• http://{BLOCKED}.{BLOCKED}.74.183/
• http://{BLOCKED}.{BLOCKED}.89.209:8080/
• http://{BLOCKED}.{BLOCKED}.131.69:8080/
• http://{BLOCKED}.{BLOCKED}.131.87/
• http://{BLOCKED}.{BLOCKED}.97.91:50000/
• http://{BLOCKED}.{BLOCKED}.170.58/
• http://{BLOCKED}.{BLOCKED}.77.184:8090/
• http://{BLOCKED}.{BLOCKED}.60.231:4143/
• http://{BLOCKED}.{BLOCKED}.255.155/
• http://{BLOCKED}.{BLOCKED}.225.30:465/
• http://{BLOCKED}.{BLOCKED}.182.42:8080/
• http://{BLOCKED}.{BLOCKED}.201.243:443/
• http://{BLOCKED}.{BLOCKED}.116.104/
• http://{BLOCKED}.{BLOCKED}.5.162:8080/