TSPY_FASTPOS.A

Inyecta sus archivos o componentes infiltrados en procesos específicos.

Registra las pulsaciones de teclas de un usuario para robar información.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Windows%\servhelp.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• {Current Malware Path}\kl32.exe <- temporary file for the keylog module 32bit
• {Current Malware Path}\kl64.exe <- temporary file for the keylog module 64bit
• {Current Malware Path}\proc32.exe <- temporary file for the memory scraper module 32bit
• {Current Malware Path}\proc64.exe <- temporary file for the memory scraper module 64bit
• {Current Malware Path}\service.exe <- temporary file for the Main Loader
  
  (Note: These files will be deleted when OS checking is done and the appropriate module (x32/x64) is copied to the windows directory)

Infiltra y ejecuta los archivos siguientes:

• %Windows%\kbd.exe <- keylog module (x32/x64 bit depending of the affected system OS)
• %Windows%\servproc.exe <- memory scraper module (x32/x64 bit depending of the affected system OS)
• %Windows%\serv32.exe <- Main Loader, executes the keylog and memory scraper module, reports to C&C server

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• CLAXCSSPLS

Inyecta sus archivos o componentes infiltrados en los siguientes procesos:

• explorer.exe
  (Note: The component to be injected is the keylogging module %Windows%\kbd.exe)

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Finaliza la ejecución de la copia que ejecutó inicialmente y ejecuta en su lugar la copia que ha creado.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Clax
UID = "{victim unique id}"

Robo de información

Recopila los siguientes datos:

• Keylogs
• Credit Card Track Data

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=newcomputer&username={victim user name}&computername={victim computer name}&os={victim os}&architecture={victim os architecture}&uid={victim unique id}&version=1
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=kbinjected&uid={victim unique id}&version=1
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=procinstalled
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=scan
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=addcc&log={card information dump}&foundin={process name}
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=errorrpm{error info}
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=errorsendLogStr
• http://{BLOCKED}viejoinc.com//cdosys.php?comdlg64=statuslog&log=ping&uid={victim unique id}&version=1