TrojanSpy.MSIL.NEGASTEAL.THGAABC
Win32:PWSX-gen [Trj] (AVAST)
Windows
Threat Type:
Trojan Spy
Destructiveness:
No
Encrypted:
In the wild::
Yes
OVERVIEW
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
TECHNICAL DETAILS
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Infiltra los archivos siguientes:
- %Application Data%\BttqxcYvYaRne.exe → Copy of itself
- &User Temp%\tmp{Random 4 Characters}.tmp
- &User Temp%{8 Random Characters}.{3 Random Characters}.ps1 → Deletes Afterwards
- &User Temp%\{8 Random Characters}.{3 Random Characters}.psm1 → Deletes Afterwards
- %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
- %Application Data%\{8 Random Characters}.{3 Random Characters}\Chrome\Default\Cookies
- %Application Data%\{8 Random Characters}.{3 Random Characters}\Firefox\Profiles\dxxbjsgn.default\cookies.sqlite
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).
)Agrega los procesos siguientes:
- %System%\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "%Application Data%\BttqxcYvYaRne.exe"
- %System%\schtasks.exe" /Create /TN "Updates\BttqxcYvYaRne" /XML "&User Temp%\tmp{Random 4 Characters}.tmp"
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).
)Otras modificaciones del sistema
Modifica los archivos siguientes:
- %System%\drivers\etc\hosts
(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).
)Robo de información
Recopila los siguientes datos:
- Current Time
- Username
- Computer Name
- OS Fullname
- CPU Information
- RAM Information
- IP Address
- Credentials from the following applications:
- Browsers:
- 360 Browser
- 7Star
- Amigo
- BlackHawk
- Brave
- CentBrowser
- Chedot
- Chrome
- Chromium
- Citrio
- Coccoc
- Comodo Dragon
- Cool Novo
- Coowon
- CyberFox
- Edge Chromium
- Elements Browser
- Epic Privacy
- Falkon Browswer
- Firefox
- Flock
- Flock Browser
- IceCat
- IceDragon
- IE/Edge
- Iridium
- K-Meleon
- Kometa
- Liebao Browser
- Opera Stable
- Orbitum
- PaleMoon
- QIP Surf
- QQ Browser
- Safari for Windows
- SeaMonkey
- Sleipnir 6
- Sputnik
- Torch
- UC Browser
- Uran
- Vivaldi
- WaterFox
- Yandex
- Email Clients
- Becky!
- Claws Mail
- eM client
- Eudora
- Foxmail
- IncrediMail
- Mailbird
- Opera Mail
- Outlook
- Pocomail
- Postbox
- The Bat!
- Thunderbird
- Windows Mail App
- FTPs
- CoreFTP
- FileZilla
- FlashFXP
- FTP Commander
- FTP Getter
- FTP Navigator
- SmartFTP
- WinSCP
- WS_FTP
- VPNs
- NordVPN
- OpenVPN
- Private Internet Access
- Instant Messaging Applications
- Discord
- Psi/Psi+
- Trillian
- Other Applications
- Internet Download Manager
- Jdownloader 2.0
- MySQL Workbench
- Connect to the following URL to retrieve affected system's IP address:
- https://{BLOCKED}ify.org
Información sustraída
Este malware envía los datos que recopila a las siguientes direcciones de correo electrónico a través de SMTP:
- Host: {BLOCKED}handsand.com
Email: in{BLOCKED}handsand.com Username: {BLOCKED}0
Password: {BLOCKED}&W(LN?
SOLUTION
Step 2
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 4
Buscar y eliminar este archivo
- %Application Data%\BttqxcYvYaRne.exe
- &User Temp%\tmp{Random 4 Characters}.tmp
- &User Temp%{8 Random Characters}.{3 Random Characters}.ps1
- &User Temp%\{8 Random Characters}.{3 Random Characters}.psm1
- %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
- %Application Data%\{8 Random Characters}.{3 Random Characters}\Chrome\Default\Cookies
- %Application Data%\{8 Random Characters}.{3 Random Characters}\Firefox\Profiles\dxxbjsgn.default\cookies.sqlite
Step 5
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TrojanSpy.MSIL.NEGASTEAL.THGAABC En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.