Backdoor.PS1.ASYNCRAT.N

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\Log.tmp → contains key logs

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• AsccMutexxxxxssmm1_{random}

Robo de información

Recopila los siguientes datos:

• HWID = Hardware Identifiers
• User = Username
• OS = OS Information
• Path = Path of the malware
• Admin = If the malware is running with Admin Access
• Performance = Current Active Window
• Antivirus = Antivirus applications in the system
• If the following cryptocurrency wallet and 2FA browser extensions exist in the affected system:
  • Firefox
  • MetaMask
  • Google Chrome
  • Authenticator
  • Binance (BEW Lite)
  • BitKeep (BitGet Wallet)
  • BitPay
  • Coinbase
  • Exodus (TronLink)
  • MetaMask
  • Phantom
  • Ronin
  • Trust
  • Brave
  • Authenticator
  • MetaMask
  • Phantom
  • Edge
  • Authenticator
  • Binance
  • MetaMask
• If the following cryptocurrency applications exist in the affected system:
  • Atomic
  • Binance
  • Bitcoin
  • Coinomi
  • Electrum
  • ErgoWallet
  • Exodus
  • Ledger Live
• LastTime = Last activity time of the affected system

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Hace lo siguiente:

• It decrypts and executes an MSIL DLL loader directly in memory.
• It checks for the existence of the following files but displays a fake error regardless of whether they exist:
  • %Program Files%\AVG\Antivirus\AVGUI.exe
  • %Program Files%\Avast Software\Avast\AvastUI.exe
• It executes the following file and injects malicious code from an embedded MSIL EXE payload into the newly created process:
  • %Windows%\Microsoft.NET\Framework\{version}\{random exe file}

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).