Backdoor.MSIL.REVENGERAT.BB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Puede haberlo infiltrado otro malware.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Recopila determinada información del equipo afectado. Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Puede haberlo infiltrado el malware siguiente:

• Trojan.MSIL.REVENGERAT.BA

Instalación

Agrega los procesos siguientes:

• %Application Data%\Microsoft\Windows\explorer.exe
• netsh firewall add allowedprogram "%Application Data%\Microsoft\Windows\explorer.exe" "explorer.exe" ENABLE
• "%System%\cmstp.exe" /au %User Temp%\{8 Random characters}.inf

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Windows Explorer

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Explorer = "%Application Data%\Microsoft\Windows\explorer.exe" .

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Explorer = "%Application Data%\Microsoft\Windows\explorer.exe" .

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_USERS\{GUID}
di = !

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Windows Explorer

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Registry manipulation
• Download and execute additional malware
• Capture screen
• Uninstalls itself and additional malware downloaded
• Send Keylogger logs

Se conecta a los sitios Web siguientes para enviar y recibir información:

• tcp://{BLOCKED}l.hackcrack.io:32544

Rutina de infiltración

Infiltra los archivos siguientes:

• %Application Data%\Microsoft\Windows\explorer.exe → Copy of itself, with HIDDEN attribute. Dropped only if execution path is not %Application Data%\Microsoft\Windows\explorer.exe
• %Application Data%\Microsoft\Windows\version.exe → with HIDDEN attribute, detected as Trojan.MSIL.REVENGERAT.BC
• %User Temp%\{8 Random Characters}.inf

Robo de información

Recopila la siguiente información del equipo afectado:

• Volume Serial Number
• Computer name
• Username
• Executable last write date
• OS Version and Architecture
• Presence of a webcam
• Active window title bar
• Registry value names under a specific key

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Hace lo siguiente:

• It abuses the Microsoft Connection Manager Profile Installer (CMSTP.exe) supplied by a malicious INF file to execute a malicious file:
  • %Application Data%\Microsoft\Windows\version.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).