Backdoor.PS1.ASYNCRAT.N

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\Log.tmp → contains key logs

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• AsccMutexxxxxssmm1_{random}

Datendiebstahl

Folgende Daten werden gesammelt:

• HWID = Hardware Identifiers
• User = Username
• OS = OS Information
• Path = Path of the malware
• Admin = If the malware is running with Admin Access
• Performance = Current Active Window
• Antivirus = Antivirus applications in the system
• If the following cryptocurrency wallet and 2FA browser extensions exist in the affected system:
  • Firefox
  • MetaMask
  • Google Chrome
  • Authenticator
  • Binance (BEW Lite)
  • BitKeep (BitGet Wallet)
  • BitPay
  • Coinbase
  • Exodus (TronLink)
  • MetaMask
  • Phantom
  • Ronin
  • Trust
  • Brave
  • Authenticator
  • MetaMask
  • Phantom
  • Edge
  • Authenticator
  • Binance
  • MetaMask
• If the following cryptocurrency applications exist in the affected system:
  • Atomic
  • Binance
  • Bitcoin
  • Coinomi
  • Electrum
  • ErgoWallet
  • Exodus
  • Ledger Live
• LastTime = Last activity time of the affected system

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Andere Details

Es macht Folgendes:

• It decrypts and executes an MSIL DLL loader directly in memory.
• It checks for the existence of the following files but displays a fake error regardless of whether they exist:
  • %Program Files%\AVG\Antivirus\AVGUI.exe
  • %Program Files%\Avast Software\Avast\AvastUI.exe
• It executes the following file and injects malicious code from an embedded MSIL EXE payload into the newly created process:
  • %Windows%\Microsoft.NET\Framework\{version}\{random exe file}

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)