TrojanSpy.Win32.EMOTET.TIABOFHK

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• If sample executed with administrative privileges:
  
  • %System%\{String1}{String2}.exe
• If sample executed without administrative privileges:
  
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• {Malware file path}\{Malware file name}.exe --{8 Random Characters}
• If sample executed with administrative privileges:
  
  • %System%\{String1}{String2}.exe
  • %System%\{String1}{String2}.exe --{8 Random Characters}
• If sample executed without administrative privileges:
  
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 Random Characters}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Crea las carpetas siguientes:

• If the sample is executed without administrative privileges:
  
  • %AppDataLocal%\{String1}{String2}

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\I{Volume Serial Number}
• Global\M{Volume Serial Number}

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

Robo de información

Recopila los siguientes datos:

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

Otros detalles

Hace lo siguiente:

• It creates the service for persistence if the sample is executed with administrative privileges, otherwise it uses an autorun registry.
• It combines any two of the following strings and uses it as its filename "{String1}{String2}":
  
  • acc
  • avi
  • basic
  • bid
  • blb
  • bta
  • cards
  • channel
  • clr
  • cors
  • createa
  • ctl
  • cyan
  • dbt
  • devices
  • digital
  • driver
  • duck
  • dvb
  • edge
  • elem
  • ellipse
  • etw
  • exce
  • format
  • guid
  • inet
  • khmer
  • metrics
  • mexico
  • mfidl
  • msg
  • msra
  • mult
  • pal
  • pdeft
  • pfx
  • ptr
  • purge
  • query
  • radio
  • restore
  • roam
  • rtp
  • send
  • ses
  • shext
  • shlp
  • sidebar
  • space
  • symbol
  • targets
  • taskmgr
  • thrd
  • thunk
  • timeout
  • url
  • violet
  • vmd
  • vol
  • volume
  • wce
  • wmistr
  • wmp
• It deletes outdated copies of itself with a combination of any two of the following strings as its file name:
  
  • acquire
  • angle
  • appid
  • attrib
  • boost
  • char
  • chunker
  • compon
  • cors
  • def
  • deploy
  • dispid
  • fill
  • footer
  • func
  • group
  • hal
  • hant
  • ias
  • inbox
  • iplk
  • ipmi
  • leel
  • lua
  • mailbox
  • maker
  • malert
  • manual
  • memo
  • methods
  • monthly
  • more
  • msp
  • netsh
  • nic
  • non
  • pdf
  • print
  • prints
  • publish
  • raw
  • rds
  • run
  • scan
  • sensor
  • serial
  • shades
  • sitka
  • smo
  • special
  • speed
  • stuck
  • tcg
  • texas
  • textto
  • title
  • trns
  • wiz
  • wow
  • wrap
  • wsa
  • wsat
  • xcl
  • zap