Trojan.Win32.LOADSELL.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• To delete itself:
  • "%System%\cmd.exe" /c taskkill /im "{Malware Filename}.exe" /f & erase "{Malware Filepath}\{Malware Filename}.exe" & exit
• If download is successful:
  • "%System%\cmd.exe" /c start /I "" "{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe"
  • "%System%\cmd.exe" /c start /I "" "{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe" /{mix, eu or us depending on the country}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Crea las carpetas siguientes:

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\ → Hidden

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Robo de información

Recopila los siguientes datos:

• Username
• IP Address
• Country
• Keyboard Layout/Language

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}n.biz/decision.php?pub={String}
• {BLOCKED}partners.in/stats/remember.php?pub={String}&user={username}
• {BLOCKED}partners.in/stats/statistics.php?trackid={track id}&postback={postback value}
• {BLOCKED}partners.in/stats/itscis.php?pub={String}
• Where depending on the country the infected machine is located in, {String} can be the following:
  • ustwo
  • euthree
  • mixsix
  • eutwo
  • usthree
  • pmix
  • peu
  • pus
  • umix
  • ueu
  • uus
  • cashmix
  • casheu
  • cashus
  • willmix
  • willeu
  • willus
  • usone
  • mixone
  • euone
  • usfour
  • eufour
  • pux
  • eux
  • mixthree
  • eufive
  • usfive
  • cafive
  • mixfive
  • mixseven
  • euinte
  • usinte
  • cainte
  • mixinte

Hace lo siguiente:

• It will terminate and delete itself if it finds any of the following:
  • The following folders:
    • %User Desktop%\Garbage Cleaner
  • The following registry keys:
    • HKEY_CURRENT_USER\Software\GCleaner
  • The system's locale or language:
    • Russian
    • Ukrainian
    • Kazakh
• It connects to the following url(s) to log the Connecting Machine's IP Address:
  • http://{BLOCKED}ger.org/{characters} → accessible
    • where depending on the {String} used, {Characters} can be the following:
      • /1SbGr7
      • /1S3Jr7
      • /1SVGr7
      • /1SDGr7
      • /1SXGr7
      • /1RGrt7
      • /1B6de7
      • /1B8de7
      • /1B9de7
      • /1exB47
      • /1ecB47
      • /1evB47
      • /1KWC77
      • /1KEC77
      • /1KRC77
      • /11juE
      • /11cuE
      • /11QuE
      • /1SMHr7
      • /1SvGr7
      • /1SZGr7
      • /1xA9f7
      • /1xF9f7
      • /1BaHp7
      • /1Uvu47
      • /1SEGr7
      • /17xdv7
      • /17vdv7
      • /17bdv7
      • /17mdv7
      • /1SGGr7
      • /1stmu7
      • /1ssmu7
      • /1sdmu7
      • /1u3ha7