TrojanSpy.Win32.GOOTKIT.AL

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Recopila determinada información del equipo afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Malware Path}\{7 Random Numbers}.bat
• {Malware Path}\{Malware File Name}.inf

Agrega los procesos siguientes:

• %System%\mstsc.exe "{Malware Path}\{Malware File Name}.exe" → injects itself on a legitimate executable to avoid detection
• {Malware Path}\{7 Random Numbers}.bat → used to delete itself
• cmd /c ""{Malware Path}{7 Random Numbers}.bat" "{Malware Path}\{Malware File Name}.exe""
• attrib -r -s -h "{Malware Path}\{Malware File Name}.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• ServiceEntryPointThread

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• mstsc.exe → injects itself to avoid detection
• svchost.exe → injects the downloaded payload if downloads succeed

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Count = 1

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Path1 = {Malware Path}\{Malware File Name}.inf

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Section1 = DefaultInstall

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\AppDataLow → if it successfully downloaded its binary payload
binaryImage{Random} = "HEX VALUES"

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• {BLOCKED}ailswimschool.com

Robo de información

Recopila la siguiente información del equipo afectado:

• CPU information
• Memory Information (RAM)
• Network Configuration
• UserName
• ComputerName
• Keyboard activity (keylogging)
• ScreenCapture

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}spelrk.com
• {BLOCKED}ailswimschool.com
• {BLOCKED}uechallenge.com
• {BLOCKED}u.org
• {BLOCKED}k.org
• {BLOCKED}u.org

Hace lo siguiente:

• It has the following capabilities:
  • It saves its downloaded payload as an encrypted binary blob in the registry before injecting it into a newly spawned svchost.exe.
  • Monitor web browsing activities (HTTP and HTTPS) via proxy on port 6000
  • Load additional modules to perform other malicious behavior, such as:
  • Keylogging
  • Modify proxy settings
  • Screen Capture
• It has the following anti-analysis techniques:
  • It checks for the following environment variable, if matched it will skip its anti-sandbox and anti-analysis routine:
  • crackmeololo
  • It checks the string "Xeon" at HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcess\0\ProcessorNameString
  • It checks the MAC address of the machine if match with the following hardcoded MAC Address that corresponds the following vendors:
  • F01FAF00 → Dell
  • 00505600 → VMWare
  • 8002700P → PCS System Technology GmbH
  • 000C2900 → VMWare
  • 00056900 → VMWare
  • 0003FF00 → Microsoft
  • 001C4200 → Parallels
  • 00163E00 → XenSource
  • It searches for any of the following loaded module:
  • dbghelp.dll
  • sbiedll.dll
  • It checks if the UserName matches the following:
  • CurrentUser
  • Sandbox
  • It checks if the Computer Name matches the following:
  • SANDBOX
  • 7SILVIA
  • It checks the registry key HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System for the following string value:
  • AMI
  • BOCHS
  • VBOX
  • QEMU
  • SMCI
  • INTEL – 6040000
  • FTNT-1
  • SONI
  • It checks the registry key HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\VideoBiosVersion for the following string value:
  • VirtualBox
  • It checks the registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\SystemBiosVersion for the following string value:
  • "55274-640-2673064-23950"
  • "76487-644-3177037-23510"
  • "76487-337-8429955-22614"
  • It sets the following environment variables with these corresponding values:
  • standalonemtm = true
  • vendor_id = exe_scheduler_1235
  • Mainprocessoverride = svchost.exe
  • RandomListenPortBase = 6000