TrojanSpy.MSIL.AZORULT.BV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Crea carpetas donde infiltra sus archivos.

Modifica determinadas entradas de registro para desactivar las funciones del Centro de seguridad. Esto permite que el malware ejecute sus rutinas sin ser detectado.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\{random characters}
• %User Temp%\{randomly generated unique id}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\{randomly generated unique id}\test.bat → detected as Trojan.BAT.AZORULT.BVV

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• powershell.exe Add-MpPreference -ExclusionPath "{Malware path and name}" -Force
• "{Malware path and name}"
• If download is successful:
  • "%User Temp%\{random characters}\AdvancedRun.exe" "/EXEFilename \"%User Temp%\{random characters}\test.bat\" /WindowState \"\"0\"\" /PriorityClass \"\"32\"\" /CommandLine \"\" /StartDirectory \"\" /RunAs 8 /Run"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea carpetas donde infiltra sus archivos.

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• "{Malware path and name}"

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware name} = {Malware path and name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = explorer.exe,"{Malware path and name}"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{Malware path and name}

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro para desactivar las funciones del Centro de seguridad:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Features
SpyNetReporting = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Features
SubmitSamplesConsent = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Features
TamperProtection = 0

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Terminate self
• Delete self
• Enable information theft options
• Collect IP and location
• Download and load modules
• Download and execute a file

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{randomly generated unique id}\AdvancedRun.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila los siguientes datos:

• Machine GUID
• Product Name
• User Name
• Computer Name
• User Privilege
• System Architecture
• Screenshots
• Time Zone and Current Local Time
• Browser cookies
• Browser credentials
• FTP Credentials
• Email Crdentials
• Crypto wallets
• Skype session database
• Telegram data
• Steam data
• IP Address and Location
• CPU Information
• Keyboard Layout
• Screen Resolution
• System Language
• Running Processes
• Installed Programs and version

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.