TROJ_STARTER.TJBGBX

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\BlocK.txt - a blank text file
• %User Temp%\decoy.doc - a blank Microsoft Word document

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\iNteldriVerupd1.sCt - detected as TROJ_STARTER.TJBGBX, contains a VBS scriptlet that runs %User Temp%\TasK.BaT
• %User Temp%\TasK.BaT - creates %User Temp%\BlocK.txt and executes %User Temp%\2nd.bat
• %User Temp%\2nd.bat - detected as TROJ_STARTER.TJBGBX. Executes the malware's payload (%User Temp%\ExE.exe), closes Winword.exe, deletes Resiliency registry keys and overwrites a file with %User Temp%\decoy.doc. This batch script will then open the overwritten file.
• %User Temp%\ExE.exe - The malware's payload. Detected as TSPY_SWOTTER.THFBOAJ.

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Otras modificaciones del sistema

Elimina las siguientes claves de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Office\11.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\12.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\14.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\15.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\16.0\Word\
Resiliency

Rutina de infiltración

Se aprovecha de las siguientes vulnerabilidades de software para crear archivos maliciosos:

• CVE-2017-8570 | Microsoft Office Remote Code Execution Vulnerability