Backdoor.Win64.SNIPBOT.THIBFBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• keyprov.dll
• single.dll
• %AppDataLocal%/temp.cmd

Agrega los procesos siguientes:

• %AppDataLocal%temp.cmd %AppDataLocal%\Local\KeyStore
• cmd /C taskkill /f /im explorer.exe && start explorer.exe → restart Explorer

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• SnipMutex

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\SOFTWARE\AppDataHigh\
Software
state1 = single.dll

Robo de información

Recopila los siguientes datos:

• Computer / Domain name
• MAC address
• Windows build number
• If Windows server

Otros detalles

Agrega las siguientes líneas o entradas de registro como parte de su rutina:

• HKEY_Current_User\SOFTWARE\AppDataHigh\Software
• HKEY_Current_User\SOFTWARE\AppDataHigh
• HKEY_Current_User\SOFTWARE\Classes\CLSID\{SID}\InprocServer32

Hace lo siguiente:

• It connects to the C2 server to download earlier versions of the following payloads and inject it into Explorer:
  • keyprov.dll
  • single.dll
• It decrypts and execute the DLL payloads downloaded from the C2 server.
• It listens on port 1342 for the following incoming string commands sent over TCP.