TrojanSpy.Win32.FORMBOOK.SHKL

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %User Temp%\nsf{4 random characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %Program Files%\{Random}\{Random}.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust die folgenden Dateien ein:

• %User Temp%\tvpqfrc5b5q
• %User Temp%\rtjansgcaru
• %User Temp%\nsf{4 random characters}.tmp\System.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware Full Path}

Injiziert Code in die folgenden Prozesse:

• {Malware Full Path}
• explorer.exe
• Any of the following legitimate Windows applications (Spawned by the hijacked explorer.exe):
  • audiodg.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • chkdsk.exe
  • cmd.exe
  • cmmon32.exe
  • cmstp.exe
  • colorcpl.exe
  • control.exe
  • cscript.exe
  • dwm.exe
  • help.exe
  • ipconfig.exe
  • lsass.exe
  • lsm.exe
  • msdt.exe
  • msg.exe
  • msiexec.exe
  • mstsc.exe
  • napstat.exe
  • nbtstat.exe
  • netsh.exe
  • netstat.exe
  • raserver.exe
  • rdpclip.exe
  • rundll32.exe
  • services.exe
  • spoolsv.exe
  • svchost.exe
  • systray.exe
  • taskhost.exe
  • wininit.exe
  • wlanext.exe
  • wscript.exe
  • wuapp.exe
  • wuauclt.exe
  • wwahost.exe
• {Targeted Applications}

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• SharedIntApp.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Characters} = %Program Files%\{Random}\{Random}.exe

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download and execute a file
• Update Self
• Uninstall Self
• Execute Arbitrary Commands
• Clear cookies
• Reboot System
• Shutdown System
• Send gathered data to C2 Server

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://www.{BLOCKED}demo.net/pb93/
• http://www.{BLOCKED}straders.com/pb93/
• http://www.{BLOCKED}zworldwidepartners.sucks/pb93/
• http://www.{BLOCKED}adingltd.com/pb93/
• http://www.{BLOCKED}lexcellencefitness.com/pb93/
• http://www.{BLOCKED}nandmary.com/pb93/
• http://www.{BLOCKED}ritic.com/pb93/
• http://www.{BLOCKED}fredag.com/pb93/
• http://www.{BLOCKED}ipe.com/pb93/
• http://www.{BLOCKED}alwomen.com/pb93/
• http://www.{BLOCKED}i.com/pb93/
• http://www.{BLOCKED}ngservices.net/pb93/
• http://www.{BLOCKED}hoes.com/pb93/
• http://www.{BLOCKED}mpionz.com/pb93/
• http://www.{BLOCKED}owinggenius.com/pb93/
• http://www.{BLOCKED}upersport.com/pb93/
• http://www.{BLOCKED}rowz.com/pb93/
• http://www.{BLOCKED}tionsystems.net/pb93/
• http://www.{BLOCKED}digitais.life/pb93/
• http://www.{BLOCKED}ite.com/pb93/
• http://www.{BLOCKED}3.info/pb93/
• http://www.{BLOCKED}gisthenewblack.com/pb93/
• http://www.{BLOCKED}eaven.com/pb93/
• http://www.{BLOCKED}ld.com/pb93/
• http://www.{BLOCKED}rtechia.net/pb93/
• http://www.{BLOCKED}nglife.com/pb93/
• http://www.{BLOCKED}llstudent.com/pb93/
• http://www.{BLOCKED}western.com/pb93/
• http://www.{BLOCKED}hengxi.com/pb93/

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• CRC32 of SID
• Operating System
• Captured Screenshots
• Clipboard and keylogged data from Targeted Applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Baidu
    • BlackHawk
    • Browzar
    • Canary
    • Chrome
    • Chromium
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Rambler
    • Safari
    • SafeZone
    • ScriptFTP
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Titan
    • Tor Browser
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Clients:
    • 3DFTP
    • AbsoluteTelnet
    • ALFTP
    • BitKinex
    • CoreFTP
    • Far File Manager
    • FileZilla
    • FlashFXP
    • Fling FTP
    • LeechFTP
    • NCFTP
    • SmartFTP
    • Total Commander
    • WebDrive
    • WinSCP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • WhatsApp
    • Yahoo Messenger

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Andere Details

Es macht Folgendes:

• It terminates itself if the loaded DLLs has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters