Trojan.Win32.NUKESPED.YXBB-A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\{Random Characters}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Temp%\{Random Characters}\{Malware Filename}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\{Random Characters}\_ISMSIDEL.INI -> contains list of files dropped
• %User Temp%\{Random Characters}\Setup.INI -> configuration file for installation
• %User Temp%\{Random Characters}\0x0409.ini -> log file
• %User Temp%\{Random Characters}\Microsoft Visual C++ 2015 Update 3 Redistributable Package (x64).prq
• %User Temp%\{Random Characters}\ISSetup.dll -> InstallShield Setup Engine
• %User Temp%\{Random Characters}\setup.isn -> Installer source file used by InstallShield
• %User Temp%\{Random Characters}\UnionCryptoTrader.msi -> detected as Trojan.Win64.NUKESPED.YXBB-B

Agrega los procesos siguientes:

• %User Temp%\{Random Characters}\{Malware Filename}.exe /q"{Malware Path}\{Malware Filename}.exe" /tempdisk1folder"%User Temp%\{Random Characters}" /IS_temp
• "%System%\MSIEXEC.EXE" /i "%User Temp%\{Random Characters}\UnionCryptoTrader.msi" SETUPEXEDIR="{Malware Path}" SETUPEXENAME="{Malware Filename}.exe"
• %System%\explorer.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• created explorer.exe

Otros detalles

Hace lo siguiente:

• It displays the following image:
  
• It will proceed with the installation of UnionCryptoTrader when ran in a 64-bit environment