Trojan.Win64.BAZARLOADER.FAJG
Trojan.SuspectCRC(IKARUS)
Windows
Threat Type:
Trojan
Destructiveness:
No
Encrypted:
No
In the wild::
Yes
OVERVIEW
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
TECHNICAL DETAILS
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Técnica de inicio automático
Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Characters} = "%System%\rundll32.exe\" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument}
Otros detalles
Hace lo siguiente:
- It checks if it is executed with the following arguments:
- If it is executed without argument:
- It adds one of the following process randomly:
- cmd /c timeout /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
- cmd /c choice /n /c y /d y /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
- cmd /c timeout 10 /nobreak & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
- cmd /c ping 192.0.2.210 -n 8 -i 103 -4 -w 1000 > NUL & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
- It adds one of the following process randomly:
- If it is executed with two specified arguments:
- It adds the following process:
- cmd.exe /c reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f /v 0q0ci6sB1gW5cD8sS6T /t REG_SZ /d "\"%System%\rundll32.exe\" \"{Malware Fullpath}\", {Export} {First Argument} {Second Argument} {Third Argument}"
- It adds one of the following process randomly:
- cmd /c timeout /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
- cmd /c choice /n /c y /d y /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
- cmd /c timeout 10 /nobreak & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
- cmd /c ping 192.0.2.210 -n 8 -i 103 -4 -w 1000 > NUL & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
- It adds the following process:
- If it is executed with three specified arguments:
- It adds the following process:
- cmd.exe /c reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths"
- cmd.exe /c reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\chrome.exe" /v "Path"
- "%Program Files%\Google\Chrome\Application\chrome.exe" {First Argument} {Second Argument} {Third Argument} {Fourth Argument} "{Malware Fullpath}" "rundll32.exe" {Export}
- It adds the following process:
- It injects malicious code to the added process, chrome.exe. --> will only work if executed on Windows 10
(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).
. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).)
SOLUTION
Step 2
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Reiniciar en modo seguro
Step 4
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Random Characters} = "%System%\rundll32.exe\" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument}
- {Random Characters} = "%System%\rundll32.exe\" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument}
Step 5
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Trojan.Win64.BAZARLOADER.FAJG En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.