TrojanSpy.MSIL.REDENERGY.THJAOBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Fügt bestimmte Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren. Dies verhindert, dass Benutzer den Malware-Prozess beenden, was normalerweise über den Task-Manager möglich ist.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\{9 random alphanumeric}.jpg → desktop wallpaper after encryption
• %User Temp%\tmp{4 random alphanumeri}c.tmp.bat → terminates and deletes executed malware after encryption routine; deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet
• chcp 65001
• taskkill /F /IM {pid of malware}
• timeout /T 10 /Nobreak
• Del /a /f / q {malware full path}
• Del /a /f / q {malware execution path}\DotNetZip.dll
• Del /a /f / q {malware execution path}\Newtonsoft.Json.dll

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• vss
• sql
• svc$
• memtas
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• SavRoam
• RTVscan
• QBFCService
• Intuit.QuickBooks.FCS
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• QBCFMonitorService
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc
• TeamViewer

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Hostname
• Battery Life
• Clipboard Data
• List of Installed Applications
• OS Version
• OS Product Key
• List of Installed AV Products

Andere Details

Es macht Folgendes:

• It sets its own file attributes to SYSTEM and HIDDEN.
• It can disable the task manager.
• It terminates and deletes itself after its encryption routine.
• It loads vaultcli.dll and calls its functions to retrieve all saved data from the following browsers:
  • Opera Software
  • Edge
  • Firefox
  • Internet explorer
• It steals information from the following VPN services:
  • NordVPN
  • OpenVPN
  • ProtonVPN
• It steals information from the following email clients:
  • DeskSoft
  • Foxmail
  • GetyMail2
  • Opera_Mail
  • Outlook
  • Pocomail
  • TrulyMail
  • yMail
  • yMail2
• It steals information from the following gaming platforms installed:
  • BattleNET
  • Steam
  • Uplay
• It steals information from the following password managers:
  • Enpass
  • KeePass
  • mSecure
  • NordPass
  • _Password
  • Wallets
• It steals information from the following file transfer tools:
  • AbleFTP14
  • BlazeFtp
  • Cyberduck
  • DeluxeFTP
  • Estsoft
  • Far
  • FTPBox
  • FTPGetter
  • FTP_Now
  • FTPShell
  • GetAutomize14
  • GetFileZilla
  • GoFTP
  • INSoftware
  • iterate_GmbH
  • JaSFtp14
  • NetDrive2
  • NexusFile
  • Odin_Secure_FTP_Expert
  • SftpNetDrive
  • Staff_FTP
  • UltraFXP
  • WS_FTP
• It steals information from the following messaging platforms:
  • Discord
  • GetPaltalk
  • QQ
  • SignalGetJSON
  • SignalGetSQL
  • Skype
  • Telegram
  • TOX
  • Viber
  • Vime
  • WickrMe
  • Wickr_Pro
  • Pidgin
• It steals information from the following system/file management tools:
  • ExpanDrive
  • GetTotalCommander
  • Ipswitch
  • SuperPutty
  • Syncovery
• It steals the following browser information:
  • Web Data
  • Login Data
  • Cookies
  • History
  • History
  • Web Data
  • Bookmarks
  • CreditCards.txt
  • Passwords.txt
  • Cookies.txt
  • History.txt
  • Downloads.txt
  • AutoFill.txt
  • Bookmarks.txt