TrojanSpy.Win32.SOCELARS.D

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Wird möglicherweise von anderer Malware eingeschleust.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird möglicherweise von der folgenden Malware eingeschleust:

• Trojan.Win32.MULTDROPEX.A

Installation

Schleust die folgenden Dateien ein:

• Browser extension:
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\background.html
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\icon.png
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\aes.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\background.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\content.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\jquery-3.3.1.min.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\mode-ecb.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\js\pad-nopadding.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0\manifest.json

Fügt die folgenden Prozesse hinzu:

• xcopy "%AppDataLocal%\Google\Chrome\User Data" "%User Temp%\cghjgasaaz99\" /s /e /y
• %Program Files%\Google\Chrome\Application\chrome.exe --window-position=-50000,-50000 --user-data-dir="%User Temp%\cghjgasaaz99" https://www.facebook.com/ https://www.facebook.com/pages/ https://secure.facebook.com/ads/manager/account_settings/account_billing/

Erstellt die folgenden Ordner:

• %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf
• %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\kjkfjbddnkpfcflenfcleijhgaaiapaf\8.66.88_0

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• patatoes

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Google\Chrome\ExtensionInstallWhitelist
99 = kjkfjbddnkpfcflenfcleijhgaaiapaf

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Askhelpfinder
path = %User Temp%\{malware file name and extension}

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• chrome.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Login Data, User name, Password, Account information, and Cookies from the following browsers:
  • Chrome
  • Firefox
  • Internet Explorer
• Amazon/Facebook information:
  • Paypal information
  • Credit card information
  • Transactions history
  • Billing information
  • Internet Explorer history

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://www.{BLOCKED}y.top
• http://{retrieved url}/Home/Index/lkdinl

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• To retrieve URL {retrieved url} to be used in sending gathered data
  • http://www.{BLOCKED}n.com/
  • http://www.{BLOCKED}c.top/
  • http://www.{BLOCKED}ce.xyz/

Es macht Folgendes:

• It attempts to bypass UAC using CMSTPLUA COM interface.
• The browser extension it drops is used to steal more Facebook information. It will send stolen information and receive response from the following URLs:
  • {URL1}/Home/Index/xcvjs
    • http://www.{BLOCKED}n.com/
    • http://www.{BLOCKED}c.top/
    • http://www.{BLOCKED}ce.xyz/
  • {URL2}
    • Format:
    • URLs:
      • http://www.{BLOCKED}bt.top
      • http://www.{BLOCKED}q.xyz
      • http://www.{BLOCKED}t.top