TSPY_TRICKBOT.TIDACAN

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{folder name}\{malware name}.exe
  Where folder name can be one of the following:
  • DiskMonitor
  • mstools

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• svchost.exe

Crea las carpetas siguientes:

• %Application Data%\{folder name}
• %Application Data%\{folder name}\Modules
• %Application Data%\{folder name}\Modules\injectDll32_configs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {17 random hex characters}

Otras modificaciones del sistema

Modifica los archivos siguientes:

• %Application Data%\Mozilla\Firefox\Profiles\{profile folder}\prefs.js
  Appends the following strings:
  • user_pref("browser.tabs.remote.autostart.2", false);
  • user_pref("browser.tabs.remote.autostart", false);
  • user_pref("network.http.spdy.enabled.http2", false);

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Exclusions\
Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableHTTP2 = 0

Rutina de infiltración

Infiltra los archivos siguientes:

• %Application Data%\{folder name}\config.conf
• %Application Data%\{folder name}\FAQ
• %Application Data%\{folder name}\README.md
• %Application Data%\{folder name}\Modules\injectDll32 - encrypted dll
• %Application Data%\{folder name}\Modules\systeminfo32 - encrypted dll
• %Application Data%\{folder name}\Modules\injectDll32_configs\dinj - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\dpost - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\sinj - encrypted config file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.48.118:449
• {BLOCKED}.{BLOCKED}.90.102:449
• {BLOCKED}.{BLOCKED}.196.254:449
• {BLOCKED}.{BLOCKED}.207.204:449
• {BLOCKED}.{BLOCKED}.4.216:449
• {BLOCKED}.{BLOCKED}.117.95:449
• {BLOCKED}.{BLOCKED}.134.61:449
• {BLOCKED}.{BLOCKED}.73.154:449
• {BLOCKED}.{BLOCKED}.192.194:449
• {BLOCKED}.{BLOCKED}.125.37:449
• {BLOCKED}.{BLOCKED}.174.189:443
• {BLOCKED}.{BLOCKED}.102.12:449
• {BLOCKED}.{BLOCKED}.48.221:449
• {BLOCKED}.{BLOCKED}.223.63:449
• {BLOCKED}.{BLOCKED}.15.87:449
• {BLOCKED}.{BLOCKED}.215.149:449
• {BLOCKED}.{BLOCKED}.186.127:451
• {BLOCKED}.{BLOCKED}.31.46:449
• {BLOCKED}.{BLOCKED}.119.164:449
• {BLOCKED}.{BLOCKED}.49.162:449
• {BLOCKED}.{BLOCKED}.89.70:449
• {BLOCKED}.{BLOCKED}.218.104:443
• {BLOCKED}.{BLOCKED}.166.96:443
• {BLOCKED}.{BLOCKED}.198.156:443
• {BLOCKED}.{BLOCKED}.174.235:443
• {BLOCKED}.{BLOCKED}.146.107:443
• {BLOCKED}.{BLOCKED}.48.3:443
• {BLOCKED}.{BLOCKED}.37.242:443
• {BLOCKED}.{BLOCKED}.198.115:443
• {BLOCKED}.{BLOCKED}.32.144:443