Trojan.Win64.VALLEYRAT.THHBGBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• Invoke-Command -Command {Add-MpPreference -ExclusionPath {Root drive of the malware path}

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• TEST

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\CompMgmtLauncher.lnk
• %User Startup%\eventvwr.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterLevel = 4

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterSwitch = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KSetting
kxesc = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KAVReport
AutoStart = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
Tencent\QQPCMgr
autostart = 0

Elimina las siguientes claves de registro:

HKEY_CURRENT_USER\Console\IpDate

HKEY_CURRENT_USER\Software\Classes\
mscfile

HKEY_CURRENT_USER\Software\Classes\
ms-settings

HKEY_CURRENT_USER\Software\Classes\
.pwn

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• 360Sd.exe
• 360leakfixer.exe
• safesvr.exe
• MultiTip.exe
• 360Tray.exe
• 360tray.exe
• 360Safe.exe
• 360safe.exe
• ZhuDongFangYu.exe
• kscan.exe
• kwsprotect64.exe
• kxescore.exe
• kxetray.exe
• HipsMain.exe
• HipsTray.exe
• QMDL.exe
• QMPersonalCenter.exe
• QQPCPatch.exe
• QQPCRealTimeSpeedup.exe
• QQPCRTP.exe
• QQPCTray.exe

Otros detalles

Hace lo siguiente:

• After the process termination, it checks again for the following processes to see if they are still running in the system.
  • kxetray.exe
  • 360sd.exe
  • 360Tray.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • QQPCTray.exe
  • MsMpEng.exe
  • HipsTray.exe
  • If any of these processes are still running, it will do the following:
  • Injects a shellcode into a running lsass process.
  • It terminates the following processes if found running in the affected system:
  • 360Sd.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • HipsMain.exe
  • HipsTray.exe
  • QMDL.exe
  • QQPCTray.exe
  • QQPCRTP.exe
• If the following processes within its list are still found running in the system, the malware process displays an “ERROR” message box and terminates.
  
• It checks for the presence of the following files:
  • %User Profile%\wwlib.dll
  • %User Profile%\WinWord.exe
• It checks the following registry entries related to popular communication applications.
  • HKEY_CURRENT_USER\Software\Tencent\Wechat
  • HKEY_CURRENT_USER\Software\Dingtalk
• It retrieves the URL of the C2 server stored in this registry entry by the main loader:
  • HKEY_CURRENT_USER\Console
  IpDateInfo
  • It will connect to the following URL after successfully retrieving the information.