Trojan.Win32.PHORPIEX.R06CC0DJU23

Canal de infección Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Se conecta a un sitio Web para enviar y recibir información.

Tamaño del archivo 81,920 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 26 de enero de 2024

Carga útil Connects to URLs/IPs

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

%User Profile%\tbnds.dat
F:\{disk name} ({disk free space}GB).lnk → detected as Trojan.LNK.RUNNER.B
%User Profile%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe
%Windows%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe

Infiltra y ejecuta los archivos siguientes:

%User Temp%\{10 random numbers}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

%Windows%\sysplorsv.exe
F:\.\VolDriver.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Agrega los procesos siguientes:

%Windows%\sysplorsv.exe
%User Temp%\{10 random numbers}.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Crea las carpetas siguientes:

F:\. → hidden

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

3444rrre
333x3333x3

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\sysplorsv.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\win{7 random alphabet characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %User Profile%\win{7 random alphabet characters}

Otras modificaciones del sistema

Elimina los archivos siguientes:

Files found in the removable and/or network drive with the following extension:
- .lnk
- .vbs
- .js
- .scr
- .com
- .jse
- .cmd
- .pif
- .jar
- .dll
- .vbe
- .bat
- .inf

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1