Trojan.Win32.INFOSTEAL.AA.tmsr

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %Temp%\ttt.exe -> modified copy of itself. Detected as Trojan.Win32.INFOSTEAL.AA.tmsr
• %System%\wmiex.exe -> modified copy of itself. Detected as Trojan.Win32.INFOSTEAL.AA.tmsr
• %System%\drivers\taskmgr.exe -> detected as Coinminer.Win32.MALXMR.ADS

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\drivers\svchost.exe
• %System%\svhost.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• netsh firewall add portopening tcp 65532 UDP
• netsh firewall add portopening tcp 65531 UDP2
• netsh firewall add portopening tcp 65533 ShareService
• netsh interface portproxy add v4tov4 listenport=65532 connectaddress=1.1.1.1 connectport=53
• netsh interface portproxy add v4tov4 listenport=65531 connectaddress=1.1.1.1 connectport=53

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• AHDPQOE987aaapb7
• it is holy shit

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Ddriver = %System%\drivers\svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WebServers = %System%\wmiex.exe

Fügt die folgenden Dienste hinzu und führt sie aus:

• Ddriver:
  • Description: Provides abilitiy to share TCP ports over the net.tcp protocol {Date of Installation}
  • Path: %System%\drivers\svchost.exe
• WebServers:
  • Description: forwards it to Provide HTTP Servers.
  • Path: %System%\wmiex.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers
ImagePath = %System%\wmiex.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers
DisplayName = WebServers

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver
DisplayName = Ddriver

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver
ImagePath = %System%\drivers\svchost.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4\
tcp
*/65532 = 1.1.1.1/53

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4\
tcp
*/65531 = 1.1.1.1/53

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://ii.{BLOCKED}.net/u.png?{Stolen Info}
• http://p.{BLOCKED}.com/im.png?{Stolen Info}
• http://i.{BLOCKED}.net/i.png?{Stolen Info}
• http://o.{BLOCKED}.com/i.png?{Stolen Info}
• http://{BLOCKED}.{BLOCKED}.107.97/h.bat?{Stolen Info}
• http://{BLOCKED}.{BLOCKED}.107.97/xmrig-32_1.mlz?{Stolen Info}
• http://dl.{BLOCKED}.net/ins2.exez?{Stolen Info}

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %Temp%\h.bat -> cointains flushdns command
• %Temp%\svchost.exe -> Trojan.WIn32.MIMIKATZ.ADU
• %Temp%\svchost.mlz -> encrypted file read by taskmgr.exe for its coinminingroutine

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• GUID
• MAC Address
• User Name
• Version
• Operating System
• AV Products
• OS Architecture = 32/64 bit
• CPU
• Video Card

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4

Es macht Folgendes:

• Terminates all running old version of the malware
• For 64 bit systems, the value of %System% is equivalent to C:\Windows\SysWOW64
• Enable port forwarding and enables windows firewall
• Connects to the following URL to send system information:
  • http://ii.{BLOCKED}.net/u.png?{Stolen Info}
  • http://p.{BLOCKED}.com/im.png?{Stolen Info}
  • http://i.{BLOCKED}.net/i.png?{Stolen Info}
  • http://o.{BLOCKED}.com/i.png?{Stolen Info}
  • http://{BLOCKED}.{BLOCKED}.107.97/h.bat?{Stolen Info}
  • http://{BLOCKED}.{BLOCKED}.107.97/xmrig-32_1.mlz?{Stolen Info}
  • http://dl.{BLOCKED}.net/ins2.exez?{Stolen Info}