TrojanSpy.Win32.FORMBOOK.CI

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Registra las pulsaciones de teclas de un usuario para robar información.

Se conecta a determinados sitios Web para enviar y recibir información. Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\{Random characters}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\imuk.dll → Decrypts qulqs.yl
• %User Temp%\qulqs.yl
• %User Temp%\{Random characters}.tmp\System.dll → Legitimate dll

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• {Malware Full Path}

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {16 random characters derived from the username}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• {Malware Full Path}
• explorer.exe
• Any of the following legitimate Windows applications: (Spawned by the hijacked explorer.exe)
  • audiodg.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • chkdsk.exe
  • cmd.exe
  • cmmon32.exe
  • cmstp.exe
  • colorcpl.exe
  • control.exe
  • cscript.exe
  • dwm.exe
  • help.exe
  • ipconfig.exe
  • lsass.exe
  • lsm.exe
  • msdt.exe
  • msg.exe
  • msiexec.exe
  • mstsc.exe
  • napstat.exe
  • nbtstat.exe
  • netsh.exe
  • netstat.exe
  • raserver.exe
  • rdpclip.exe
  • rundll32.exe
  • services.exe
  • spoolsv.exe
  • svchost.exe
  • systray.exe
  • taskhost.exe
  • wininit.exe
  • wlanext.exe
  • wscript.exe
  • wuapp.exe
  • wuauclt.exe
  • wwahost.exe
• {Targeted Applications}

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• prl_tools_service.exe
• prl_tools.exe
• prl_cc.exe
• SharedIntApp.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and Execute a File
• Execute Arbitrary Commands
• Update Self
• Uninstall Self
• Reboot System
• Shutdown System
• Clear Cookies
• Take Screenshot

Robo de información

Recopila los siguientes datos:

• Username
• CRC32 of SID
• Operating System
• Captured Screenshots
• Clipboard Data
• Information from the following applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Baidu
    • BlackHawk
    • Browzar
    • Canary
    • Chrome
    • Chromium
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Rambler
    • Safari
    • SafeZone
    • ScriptFTP
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Titan
    • Tor Browser
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Clients:
    • 3DFTP
    • AbsoluteTelnet
    • ALFTP
    • BitKinex
    • CoreFTP
    • Far File Manager
    • FileZilla
    • FlashFXP
    • Fling FTP
    • LeechFTP
    • NCFTP
    • SmartFTP
    • Total Commander
    • WebDrive
    • WinSCP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • WhatsApp
    • Yahoo Messenger

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• It can create an autorun registry located at:
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run or
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
    with a value and data of:
    {Random Characters} = %Program Files%\{Random}\{Random}.exe → Copy of Malware

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Se conecta al sitio Web siguiente para enviar y recibir información:

• www.{BLOCKED}0.net/d8ak/
• www.{BLOCKED}m.info/d8ak/
• www.{BLOCKED}nahouseandhome.com/d8ak/
• www.{BLOCKED}ysidebuilder.com/d8ak/
• www.{BLOCKED}dishes.com/d8ak/
• www.{BLOCKED}pressions.com/d8ak/
• www.{BLOCKED}o.store/d8ak/
• www.{BLOCKED}ad-effort.com/d8ak/
• www.{BLOCKED}suvrussia.com/d8ak/
• www.{BLOCKED}adesolution.com/d8ak/
• www.{BLOCKED}c.com/d8ak/
• www.{BLOCKED}pp.com/d8ak/
• www.{BLOCKED}mes.com/d8ak/
• www.{BLOCKED}mbless.info/d8ak/
• www.{BLOCKED}lechina.com/d8ak/
• www.{BLOCKED}rovidence.com/d8ak/
• www.{BLOCKED}aparktownhome.com/d8ak/
• www.{BLOCKED}tsim.com/d8ak/
• www.{BLOCKED}rclones.com/d8ak/
• www.{BLOCKED}byzy.com/d8ak/
• www.{BLOCKED}dimnation.com/d8ak/
• www.{BLOCKED}ngfu.com/d8ak/
• www.{BLOCKED}gabriel.com/d8ak/
• www.{BLOCKED}.com/d8ak/
• www.{BLOCKED}k0cya3lt22phzggtpit2b.com/d8ak/
• www.{BLOCKED}steamironing.com/d8ak/
• www.{BLOCKED}vitywallach.com/d8ak/

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Hace lo siguiente:

• It terminates itself if the following DLL is loaded on its memory:
  • SbieDll.dll
• It terminates itself if the following DLL loaded on its memory has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters.