Trojan.Win32.LOADSELL.B

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. No obstante, de este modo no se podrá acceder a los sitios mencionados.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Instalación

Agrega los procesos siguientes:

• To delete itself:
  • "%System%\cmd.exe" /c taskkill /im "{Malware Filename}.exe" /f & erase "{Malware Filepath}\{Malware Filename}.exe" & exit
• If download is successful:
  • "%System%\cmd.exe" /c start /I "" "%User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe"
  • "%System%\cmd.exe" /c start /I "" "%User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe" /{mix, us, eu or depending on the country}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Crea las carpetas siguientes:

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\ → Hidden

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Robo de información

Recopila los siguientes datos:

• Username
• IP Address
• Country
• Keyboard Layout/Language

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}n.in/decision.php?pub={String}
• http://{BLOCKED}n.in/stats/remember.php?pub={String}&user={username}
• http://{BLOCKED}n.in/stats/itscis.php?pub={String}
• http://{BLOCKED}n.in/stats/statistics.php?trackid={track id}&postback={postback value}
  • Where depending on the country the infected machine is located in, {String} can be the following:
    • cainte
    • caone
    • cafour
    • cafive
    • casix
    • cashmix
    • casheu
    • cashus
    • cashtg
    • euinte
    • euone
    • eutwo
    • euthree
    • eufour
    • eufive
    • eux
    • mixinte
    • mixone
    • mixtwo
    • mixthree
    • mixfive
    • mixsix
    • mixseven
    • pmix
    • peu
    • pus
    • tgcash
    • tgone
    • tgsix
    • umix
    • ueu
    • uus
    • usinte
    • usone
    • ustwo
    • usthree
    • usfour
    • usfive
    • willmix
    • willeu
    • willus

Hace lo siguiente:

• It will terminate and delete itself if it finds any of the following:
  • The following folders:
    • %User Desktop%\Garbage Cleaner
  • The following registry keys:
    • HKEY_CURRENT_USER\Software\GCleaner
  • The system's locale or language:
    • Russian
    • Ukrainian
    • Kazakh
• It connects to the following url(s) to log the Connecting Machine's IP Address:
  • http://{BLOCKED}er.org/{Characters} → Accessible
    • Where depending on the {String} used, {Characters} can be the following:
      • /11cuE
      • /11juE
      • /11QuE
      • /17bdv7
      • /17mdv7
      • /17vdv7
      • /17xdv7
      • /1B6de7
      • /1B8de7
      • /1B9de7
      • /1BaHp7
      • /1bAJM6
      • /1bPJM6
      • /1bRJM6
      • /1ecB47
      • /1evB47
      • /1exB47
      • /1KEC77
      • /1KRC77
      • /1KWC77
      • /1OPdA
      • /1OUdA
      • /1Pk497
      • /1Pv287
      • /1RGrt7
      • /1S3Jr7
      • /1SbGr7
      • /1SDGr7
      • /1SEGr7
      • /1SGGr7
      • /1SMHr7
      • /1SVGr7
      • /1SvGr7
      • /1SXGr7
      • /1SZGr7
      • /1u3ha7
      • /1Uvu47
      • /1xA9f7
      • /1xF9f7