TSPY_EMOTET.TTIBBJQ

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe - if malware is run with no admin privileges
• %System%\{string1}{string2}.exe - if malware is run with admin privileges
  
  {string1} and {string2} are randomly chosen from the following strings:
  
  • betest
  • stock
  • headers
  • chart
  • drop
  • member
  • strip
  • ldr
  • con
  • reports
  • facts
  • shlp
  • ftp
  • action
  • defrag
  • dest
  • teal
  • smx
  • ait
  • srv
  • steps
  • display
  • send
  • cee
  • wrap
  • light
  • text
  • boxes
  • turned
  • tag
  • ipxrip
  • max
  • lab
  • hotspot
  • svc
  • umx
  • trouble
  • detect
  • with
  • brack
  • bits
  • wsm
  • sdk
  • stg
  • private
  • only
  • bundle
  • trns
  • atalk
  • game
  • sel
  • region
  • sky
  • boldina
  • tiny
  • logon
  • uart
  • pbda
  • android
  • cycle
  • just
  • unicode
  • arr
  • perf

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• PE{hash of full file path}
• Global\{volume serial number}

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ImagePath = "%System%\{string1}{string2}.exe"

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe"

Robo de información

Recopila los siguientes datos:

• Machine Name
• System Locale
• OS Version
• Running Processes

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.54.171:8080
• http://{BLOCKED}.{BLOCKED}.214.210:443
• http://{BLOCKED}.{BLOCKED}.146.226
• http://{BLOCKED}.{BLOCKED}.43.110:8080
• http://{BLOCKED}.{BLOCKED}.170.222:8080
• http://{BLOCKED}.{BLOCKED}.173.247:8080
• http://{BLOCKED}.{BLOCKED}.164.23:8080
• http://{BLOCKED}.{BLOCKED}.167.185:443
• http://{BLOCKED}.{BLOCKED}.113.145:4143
• http://{BLOCKED}.{BLOCKED}.61.90
• http://{BLOCKED}.{BLOCKED}.17.209
• http://{BLOCKED}.{BLOCKED}.43.125:7080
• http://{BLOCKED}.{BLOCKED}.246.242:443
• http://{BLOCKED}.{BLOCKED}.78.9:443
• http://{BLOCKED}.{BLOCKED}.60.206:443
• http://{BLOCKED}.{BLOCKED}.184.52
• http://{BLOCKED}.{BLOCKED}.104.194
• http://{BLOCKED}.{BLOCKED}.168.27:53
• http://{BLOCKED}.{BLOCKED}.168.27:8443
• http://{BLOCKED}.{BLOCKED}.218.192:4143
• http://{BLOCKED}.{BLOCKED}.116.230:990
• http://{BLOCKED}.{BLOCKED}.176.48:443
• http://{BLOCKED}.{BLOCKED}.127.246:443
• http://{BLOCKED}.{BLOCKED}.49.37:8080
• http://{BLOCKED}.{BLOCKED}.175.215:8090
• http://{BLOCKED}.{BLOCKED}.74.183
• http://{BLOCKED}.{BLOCKED}.89.209:8080
• http://{BLOCKED}.{BLOCKED}.131.69:8080
• http://{BLOCKED}.{BLOCKED}.131.87
• http://{BLOCKED}.{BLOCKED}.97.91:50000
• http://{BLOCKED}.{BLOCKED}.170.58
• http://{BLOCKED}.{BLOCKED}.77.184:8090
• http://{BLOCKED}.{BLOCKED}.60.231:4143
• http://{BLOCKED}.{BLOCKED}.255.155
• http://{BLOCKED}.{BLOCKED}.225.30:465
• http://{BLOCKED}.{BLOCKED}.182.42:8080
• http://{BLOCKED}.{BLOCKED}.201.243:443
• http://{BLOCKED}.{BLOCKED}.116.104
• http://{BLOCKED}.{BLOCKED}.5.162:8080