TrojanSpy.Win32.FORMBOOK.CI

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %User Temp%\{Random characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Temp%\imuk.dll → Decrypts qulqs.yl
• %User Temp%\qulqs.yl
• %User Temp%\{Random characters}.tmp\System.dll → Legitimate dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware Full Path}

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {16 random characters derived from the username}

Injiziert Code in die folgenden Prozesse:

• {Malware Full Path}
• explorer.exe
• Any of the following legitimate Windows applications: (Spawned by the hijacked explorer.exe)
  • audiodg.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • chkdsk.exe
  • cmd.exe
  • cmmon32.exe
  • cmstp.exe
  • colorcpl.exe
  • control.exe
  • cscript.exe
  • dwm.exe
  • help.exe
  • ipconfig.exe
  • lsass.exe
  • lsm.exe
  • msdt.exe
  • msg.exe
  • msiexec.exe
  • mstsc.exe
  • napstat.exe
  • nbtstat.exe
  • netsh.exe
  • netstat.exe
  • raserver.exe
  • rdpclip.exe
  • rundll32.exe
  • services.exe
  • spoolsv.exe
  • svchost.exe
  • systray.exe
  • taskhost.exe
  • wininit.exe
  • wlanext.exe
  • wscript.exe
  • wuapp.exe
  • wuauclt.exe
  • wwahost.exe
• {Targeted Applications}

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• prl_tools_service.exe
• prl_tools.exe
• prl_cc.exe
• SharedIntApp.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download and Execute a File
• Execute Arbitrary Commands
• Update Self
• Uninstall Self
• Reboot System
• Shutdown System
• Clear Cookies
• Take Screenshot

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• CRC32 of SID
• Operating System
• Captured Screenshots
• Clipboard Data
• Information from the following applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Baidu
    • BlackHawk
    • Browzar
    • Canary
    • Chrome
    • Chromium
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Rambler
    • Safari
    • SafeZone
    • ScriptFTP
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Titan
    • Tor Browser
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Clients:
    • 3DFTP
    • AbsoluteTelnet
    • ALFTP
    • BitKinex
    • CoreFTP
    • Far File Manager
    • FileZilla
    • FlashFXP
    • Fling FTP
    • LeechFTP
    • NCFTP
    • SmartFTP
    • Total Commander
    • WebDrive
    • WinSCP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • WhatsApp
    • Yahoo Messenger

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It can create an autorun registry located at:
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run or
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
    with a value and data of:
    {Random Characters} = %Program Files%\{Random}\{Random}.exe → Copy of Malware

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• www.{BLOCKED}0.net/d8ak/
• www.{BLOCKED}m.info/d8ak/
• www.{BLOCKED}nahouseandhome.com/d8ak/
• www.{BLOCKED}ysidebuilder.com/d8ak/
• www.{BLOCKED}dishes.com/d8ak/
• www.{BLOCKED}pressions.com/d8ak/
• www.{BLOCKED}o.store/d8ak/
• www.{BLOCKED}ad-effort.com/d8ak/
• www.{BLOCKED}suvrussia.com/d8ak/
• www.{BLOCKED}adesolution.com/d8ak/
• www.{BLOCKED}c.com/d8ak/
• www.{BLOCKED}pp.com/d8ak/
• www.{BLOCKED}mes.com/d8ak/
• www.{BLOCKED}mbless.info/d8ak/
• www.{BLOCKED}lechina.com/d8ak/
• www.{BLOCKED}rovidence.com/d8ak/
• www.{BLOCKED}aparktownhome.com/d8ak/
• www.{BLOCKED}tsim.com/d8ak/
• www.{BLOCKED}rclones.com/d8ak/
• www.{BLOCKED}byzy.com/d8ak/
• www.{BLOCKED}dimnation.com/d8ak/
• www.{BLOCKED}ngfu.com/d8ak/
• www.{BLOCKED}gabriel.com/d8ak/
• www.{BLOCKED}.com/d8ak/
• www.{BLOCKED}k0cya3lt22phzggtpit2b.com/d8ak/
• www.{BLOCKED}steamironing.com/d8ak/
• www.{BLOCKED}vitywallach.com/d8ak/

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Es macht Folgendes:

• It terminates itself if the following DLL is loaded on its memory:
  • SbieDll.dll
• It terminates itself if the following DLL loaded on its memory has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters.