TrojanSpy.Win32.TRICKBOT.TIABOFFC

Wird möglicherweise von anderer Malware eingeschleust.

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt. Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt.

Nutzt Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten.

Diese Malware hat keine Backdoor-Routine.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• EMOTET

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\cmdcache
• %Application Data%\cmdcache\data
• %Application Data%\cmdcache\data\injectDll{XX}_configs
• %Application Data%\cmdcache\data\networkDll{XX}_configs
• %Application Data%\cmdcache\data\pwgrab{XX}_configs
• %Application Data%\cmdcache\data\tabDlll{XX}_configs
• %Application Data%\cmcache\data\injectDll{XX}_configs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\cmdcache\{malware file name}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\cmdcache\settings.ini -> Contains encrypted victim key
• Encrypted configuration files for networkDll:
  • %Application Data%\cmdcache\networkDll{XX}_configs\dpost
• Encrypted configuration files for injectDll:
  • %Application Data%\cmdcache\injectDll{XX}_configs\dinj
  • %Application Data%\cmdcache\injectDll{XX}_configs\dpost
  • %Application Data%\cmdcache\injectDll{XX}_configs\sinj
• Encrypted configuration files for networkDll:
  • %Application Data%\cmdcache\networkDll{XX}_configs\dpost
• Encrypted configuration files for pwgrab:
  • %Application Data%\cmdcache\pwgrab{XX}_configs\dpost
• Encrypted configuration files for tablDll:
  • %Application Data%\cmdcache\tabDll{XX}_configs\dpost
• Downloaded encrypted modules used to perform different malicious behaviors:
  • %Application Data%\cmdcache\importDll{XX}
  • %Application Data%\cmdcache\injectDll{XX}
  • %Application Data%\cmdcache\mshareDll{XX}
  • %Application Data%\cmdcache\mwormDll{XX}
  • %Application Data%\cmdcache\networkDll{XX}
  • %Application Data%\cmdcache\pwgrab{XX}
  • %Application Data%\cmdcache\tabDll{XX}
  where {XX} can be 32 or 64 depending on the OS architecture.

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Fügt die folgenden Prozesse hinzu:

• cmd /c ipconfig /all
• cmd /c net config workstation
• cmd /c net view /all
• cmd /c net view /all /domain
• cmd /c nltest /domain_trusts
• cmd /c nltest /domain_trusts /all_trusts

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausführt.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{17-character Victim ID}

Injiziert Code in die folgenden Prozesse:

• svchost.exe

Autostart-Technik

Fügt die folgenden Dienste hinzu und führt sie aus:

• Service Name: SystemTypeSvc
  • Display Name: TechnicalSvc
  • ImagePath: %System Root%\stsvc.exe
• Service Name: SystemTypeSvc
  • Display Name: TechnicalSvc
  • ImagePath: %Windows%\stsvc.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Verbreitung

Nutzt die folgenden Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten:

• MS17-010

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Download-Routine

Lädt eine aktualisierte Kopie von sich selbst von folgenden Websites herunter:

• http://{BLOCKED}.{BLOCKED}.208.25/images/mini.png
• http://{BLOCKED}.{BLOCKED}.208.25/images/lastimg.png

Datendiebstahl

Stiehlt folgende Daten:

• System Information:
  • OS Information
  • CPU
  • Memory
  • User Accounts
  • Installed Programs
  • Installed Services
• Network Information
  • IP Configuration
  • Domain Information (Users, Settings, Configuration)
• Credentials in the following Applications:
  • Microsoft Outlook
  • Filezilla
  • WinSCP
  • Putty
  • TeamViewer
  • KeePass
  • OpenSSH
  • OpenVPN
  • Git
• Internet Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox):
  • Usernames and Passwords
  • Internet Cookies
  • Browsing History
  • Autofills
  • HTTP Posts responses
• Private Key Files (.ppk)
• Digital Certificate File (.p12 and .pfx)
• Cryptocurrency wallet files (.dat)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.117.187:8082
• http://{BLOCKED}.{BLOCKED}.243.70:8082
• http://{BLOCKED}.{BLOCKED}.180.226:8082
• http://{BLOCKED}.{BLOCKED}.105.206:8082
• http://{BLOCKED}.{BLOCKED}.16.210:8082
• http://{BLOCKED}.{BLOCKED}.232.124:80
• http://{BLOCKED}.{BLOCKED}.168.198:80
• http://{BLOCKED}.{BLOCKED}.102.50:80
• http://{BLOCKED}.{BLOCKED}.238.3:80
• http://{BLOCKED}.{BLOCKED}.2.83:80
• http://{BLOCKED}.{BLOCKED}.161.198:443
• http://{BLOCKED}.{BLOCKED}.3.23:443
• http://{BLOCKED}.{BLOCKED}.171.62:443
• http://{BLOCKED}.{BLOCKED}.97.44:443
• http://{BLOCKED}.{BLOCKED}.19.158:443
• http://{BLOCKED}.{BLOCKED}.40.89:443
• http://{BLOCKED}.{BLOCKED}.29.117:443
• http://{BLOCKED}.{BLOCKED}.208.27:443
• http://{BLOCKED}.{BLOCKED}.117.45:443
• https://{BLOCKED}.{BLOCKED}.104.38:446/response/rcrd.php?
• https://{BLOCKED}.{BLOCKED}.104.38:446/response.php?
• https://{BLOCKED}.{BLOCKED}.104.38:446/response/getq.php?
• http://{BLOCKED}.{BLOCKED}.161.196:443/getinj/aggregator
• http://{BLOCKED}.{BLOCKED}.161.196:443/getinj/accounts
• http://{BLOCKED}.{BLOCKED}.161.196:2020/q1MPVi7phg/swap
• http://{BLOCKED}.{BLOCKED}.161.196:2020/q1MPVi7phg/getinj
• http://{BLOCKED}.{BLOCKED}.161.196:2020/q1MPVi7phg/final
• http://{BLOCKED}.{BLOCKED}.22.0:80/