Author: Leidryn Saludez   
 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Backdoor

  • Destructiveness:
    No

  • Encrypted:
    No

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Recopila información específica del sistema afectado.

  TECHNICAL DETAILS

File size: 747,520 bytes
File type: EXE
INITIAL SAMPLES RECEIVED DATE: 17 października 2024
PAYLOAD: Connects to URLs/IPs, Collects system information

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • c88b0910ed61c17a780135d615c43ef6917616749

Propagación

Este malware no tiene ninguna rutina de propagación.

Robo de información

Recopila la siguiente información del sistema afectado:

  • Hostname
  • Locale Info

Otros detalles

Hace lo siguiente:

  • It impersonates the logged on user.
  • It uses the following URL to use Slack's API for its malicious purposes:
    • https://{BLOCKED}k.com/api/conversations.list?exclude_archived=true → lists all the conversations(channels, direct messages, and group chats) available in the Slack workspace
    • https://{BLOCKED}k.com/api/files.upload?&channels={channel ID} → uploads a file to one or more channels, direct messages in the Slack workspace
    • https://{BLOCKED}k.com/api/conversations.create → creates a new channel (public or private) in the Slack workspace
    • https://{BLOCKED}k.com/api/conversations.update → updates the settings of an existing Slack channel
    • https://{BLOCKED}k.com/api/conversations.delete → delete a Slack channel (public or private)
    • https://{BLOCKED}k.com/api/conversations.postMessage → sends a message to a specific conversation in Slack workspace
    • https://{BLOCKED}k.com/api/conversations.history?limit=200&channel={channel ID} → retrieves the past 200 messages from a specified Slack channel (public or private)
  • It retrieves its encrypted component to communicate with Slack workspace using the following URL:
    • https://{BLOCKED}ell.io/notes/58434-3
    • https://{BLOCKED}l.xlog.app/page1
  • The Slack communication was established through the use of this hardcoded authentication token:
    • {BLOCKED}19976938784-7094277537125-7090647648246-e3a9e4feeb2fe448f889890be6e1299e → Inaccessible; Token revoked

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 19.670.04
First VSAPI Pattern Release Date: 23 de października de 2024
VSAPI OPR PATTERN-VERSION: 19.671.00
VSAPI OPR PATTERN DATE: 24 de października de 2024

Step 2

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Backdoor.Win64.LEGIRAT.ZKLJ En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Did this description help? Tell us how we did.