Trojan.Win32.PHORPIEX.R06CC0DJU23

Canale infezione: Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Se conecta a un sitio Web para enviar y recibir información.

Dimensione file: 81,920 bytes

Tipo di file: EXE

Residente in memoria: Sì

Data di ricezione campioni iniziali: 26 gennaio 2024

Carica distruttiva: Connects to URLs/IPs

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

%User Profile%\tbnds.dat
F:\{disk name} ({disk free space}GB).lnk → detected as Trojan.LNK.RUNNER.B
%User Profile%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe
%Windows%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe

Infiltra y ejecuta los archivos siguientes:

%User Temp%\{10 random numbers}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

%Windows%\sysplorsv.exe
F:\.\VolDriver.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Agrega los procesos siguientes:

%Windows%\sysplorsv.exe
%User Temp%\{10 random numbers}.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Crea las carpetas siguientes:

F:\. → hidden

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

3444rrre
333x3333x3

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\sysplorsv.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\win{7 random alphabet characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %User Profile%\win{7 random alphabet characters}

Otras modificaciones del sistema

Elimina los archivos siguientes:

Files found in the removable and/or network drive with the following extension:
- .lnk
- .vbs
- .js
- .scr
- .com
- .jse
- .cmd
- .pif
- .jar
- .dll
- .vbe
- .bat
- .inf

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1