Backdoor.Win32.NETWIRED.FAS

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Roba determinada información del sistema y/o del usuario.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• {Malware File Path}\{Malware Filename}.exe

Crea las carpetas siguientes:

• %Application Data%\Logs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• FtsqDvKF

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{Special Characters}
StubPath = {Malware File Path}\{Malware Filename}.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• List files on a directory
• Terminate processes
• Perform keylogging routine
• List Drives Information
• Get Logon Sessions
• List Process information
• Take Screenshots
• Search for specific files
• List processes' listening ports

However, as of this writing, the said sites are inaccessible.

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\{Random Characters}.bat -> for self-deletion

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Este malware infiltra el/los siguiente(s) archivo(s), que utiliza para su rutina de captura de teclado:

• %Application Data%\Logs\{DD-MM-YYYY}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Robo de información

Roba la siguiente información:

• Credentials in the following protocol:
  • POP3
  • IMAP
  • HTTP
  • SMTP
  • EAS
• System Information:
  • Computer Name
  • OS Version
  • Product Version

Otros detalles

Hace lo siguiente:

• It connects to the following URL to download updates of itself and inject it to the currently running process of the malware:
  • https://drive.google.com/uc?export=download&id={BLOCKED}GNrQI464NxzXe