Trojan.Win32.DOWNLOADER.CD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• {malware filepath}\{malware filename}.exe
• %User Temp%\7za.dll" x "%User Temp%\~FavPrrpvd.ex_" -o"%Favorites%\Links" -r -y
• %User Temp%\7za.dll" x "%User Temp%\~FavPrrpvd.ex_" -o"%Favorites%\链接" -r -y
• WMIC BIOS get Manufacturer

(Nota: %Favorites% es la carpeta Favoritos del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Favorites, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Favoritos, en Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Favoritos y en Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Favorites).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
MenuOrder\Favorites\链接
Order = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
NewTabPageShow = 1

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\~FavPrrpvd.ex_
• %Favorites%\Links\电脑店官网.url
• %Favorites%\Links\游戏娱乐.url
• %Favorites%\Links\黄历网.url
• %Favorites%\Links\热点新闻.url
• %Favorites%\Links\淘宝网.url
• %Favorites%\Links\京东购物.url
• %Favorites%\Links\百度搜索.url
• %Favorites%\Links\网址导航.url
• %Favorites%\Links\天猫购物.url
• %Favorites%\链接\电脑店官网.url
• %Favorites%\链接\游戏娱乐.url
• %Favorites%\链接\黄历网.url
• %Favorites%\链接\热点新闻.url
• %Favorites%\链接\淘宝网.url
• %Favorites%\链接\京东购物.url
• %Favorites%\链接\百度搜索.url
• %Favorites%\链接\网址导航.url
• %User Temp%\7za.dll
• %User Temp%\360Safe.dll

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otros detalles

It connects to the following possibly malicious URL:

• http://tj.{BLOCKED}.com/api/soft2_token.php?softid=136&hash=f42723a5c33aaee08d43c682d7ea70da

Hace lo siguiente:

• It deletes itself after execution.