TrojanSpy.AutoIt.DARKGATE.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %System Root%\temp\AutoIt3.exe
• %System Root%\temp\{7 Characters Generated for "au3file"}.au3
• %ProgramData%\{7 Characters Generated for "mainfolder"}\AutoIt3.exe
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "au3file"}.au3
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}\{7 Characters Generated for "settings"} ← Encrypted malware settings
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}\{DD-MM-YYYY}.log ← Encrypted keylogs and clipboard data

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Erstellt die folgenden Ordner:

• %System Root%\temp
• %ProgramData%\{7 Characters Generated for "mainfolder"}
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}
• %User Temp%\{7 Characters Generated for "supertemp"}

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\{7 Characters Generated for the LNK file}.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\Windows Error Reporting
DontShowUI = 1

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Collect system information and other data
• Start or stop malware components, control malware settings
• Start, stop, and configure cryptominer
• Steal data from various programs and data sources
• Initiate hVNC connection, hAnydesk, remote desktop protocol, execute commands
• Steal browser data
• Browse directories and manage files
• Update the malware, download additional components

Datendiebstahl

Folgende Daten werden gesammelt:

• Language Code ID
• Username
• Computer name
• Parent process
• Number of seconds from the user’s last interaction with the PC
• Processor information
• Graphics information
• Total Physical Memory space in MB
• OS Information
• Admin privileges
• Malware start time
• Name of Antivirus found
• Malware version
• Port number
• Clipboard data

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}vservicceoffice.net:80

Andere Details

Es macht Folgendes:

• It proceeds to its malicious routine if the following conditions are satisfied:
  • Existence of %Program Files% directory
  • Username is not SYSTEM
  • Malware file has a .au3 extension
• It displays the following if there is no ".au3" file found:
  
• Starts a process to stay memory-resident by injecting code to the added process:
  • C:\Program Files (x86)\{Path of a file with .exe extension}
  • %System%\cmd.exe ← If C:\Program Files (x86) path does not exist or no .exe file was found
• It checks the following to identify Anti-Virus and Security Applications found in the system:
  • Existence of the following directory:
    • %ProgramData%\Bitdefender
    • %Program Files%\Bitdefender
    • %ProgramData%\AVAST
    • %Program Files%\AVAST Software
    • %ProgramData%\AVG
    • %Program Files%\AVG
    • %ProgramData%\Kaspersky Lab
    • %Program Files% (x86)\Avira
    • %Program Files% (x86)\IObit
    • %Program Files%\Malwarebytes
    • %Program Files% (x86)\F-Secure
    • %Program Files%\Quick Heal
    • %ProgramData%\Emsisoft
    • %Program Files%\Malwarebytes
  
  
  • Running process:
    • egui
    • ns.exe
    • nis.exe
    • nortonsecurity.exe
    • smc.exe
    • uiseagnt.exe
    • mcshield.exe
    • mcuicnt.exe
    • bytefence.exe
    • cis.exe
    • mbam.exe
    • vkise.exe
    • superantispyware.exe
    • totalav.exe
    • qhsafetray.exe
    • sdscan.exe
    • psuaservice.exe