TrojanSpy.Win32.FORMBOOK.SHKL

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\nsf{4 random characters}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Program Files%\{Random}\{Random}.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Infiltra los archivos siguientes:

• %User Temp%\tvpqfrc5b5q
• %User Temp%\rtjansgcaru
• %User Temp%\nsf{4 random characters}.tmp\System.dll

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• {Malware Full Path}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• {Malware Full Path}
• explorer.exe
• Any of the following legitimate Windows applications (Spawned by the hijacked explorer.exe):
  • audiodg.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • chkdsk.exe
  • cmd.exe
  • cmmon32.exe
  • cmstp.exe
  • colorcpl.exe
  • control.exe
  • cscript.exe
  • dwm.exe
  • help.exe
  • ipconfig.exe
  • lsass.exe
  • lsm.exe
  • msdt.exe
  • msg.exe
  • msiexec.exe
  • mstsc.exe
  • napstat.exe
  • nbtstat.exe
  • netsh.exe
  • netstat.exe
  • raserver.exe
  • rdpclip.exe
  • rundll32.exe
  • services.exe
  • spoolsv.exe
  • svchost.exe
  • systray.exe
  • taskhost.exe
  • wininit.exe
  • wlanext.exe
  • wscript.exe
  • wuapp.exe
  • wuauclt.exe
  • wwahost.exe
• {Targeted Applications}

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• SharedIntApp.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Characters} = %Program Files%\{Random}\{Random}.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and execute a file
• Update Self
• Uninstall Self
• Execute Arbitrary Commands
• Clear cookies
• Reboot System
• Shutdown System
• Send gathered data to C2 Server

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://www.{BLOCKED}demo.net/pb93/
• http://www.{BLOCKED}straders.com/pb93/
• http://www.{BLOCKED}zworldwidepartners.sucks/pb93/
• http://www.{BLOCKED}adingltd.com/pb93/
• http://www.{BLOCKED}lexcellencefitness.com/pb93/
• http://www.{BLOCKED}nandmary.com/pb93/
• http://www.{BLOCKED}ritic.com/pb93/
• http://www.{BLOCKED}fredag.com/pb93/
• http://www.{BLOCKED}ipe.com/pb93/
• http://www.{BLOCKED}alwomen.com/pb93/
• http://www.{BLOCKED}i.com/pb93/
• http://www.{BLOCKED}ngservices.net/pb93/
• http://www.{BLOCKED}hoes.com/pb93/
• http://www.{BLOCKED}mpionz.com/pb93/
• http://www.{BLOCKED}owinggenius.com/pb93/
• http://www.{BLOCKED}upersport.com/pb93/
• http://www.{BLOCKED}rowz.com/pb93/
• http://www.{BLOCKED}tionsystems.net/pb93/
• http://www.{BLOCKED}digitais.life/pb93/
• http://www.{BLOCKED}ite.com/pb93/
• http://www.{BLOCKED}3.info/pb93/
• http://www.{BLOCKED}gisthenewblack.com/pb93/
• http://www.{BLOCKED}eaven.com/pb93/
• http://www.{BLOCKED}ld.com/pb93/
• http://www.{BLOCKED}rtechia.net/pb93/
• http://www.{BLOCKED}nglife.com/pb93/
• http://www.{BLOCKED}llstudent.com/pb93/
• http://www.{BLOCKED}western.com/pb93/
• http://www.{BLOCKED}hengxi.com/pb93/

Robo de información

Recopila los siguientes datos:

• Username
• CRC32 of SID
• Operating System
• Captured Screenshots
• Clipboard and keylogged data from Targeted Applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Baidu
    • BlackHawk
    • Browzar
    • Canary
    • Chrome
    • Chromium
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Rambler
    • Safari
    • SafeZone
    • ScriptFTP
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Titan
    • Tor Browser
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Clients:
    • 3DFTP
    • AbsoluteTelnet
    • ALFTP
    • BitKinex
    • CoreFTP
    • Far File Manager
    • FileZilla
    • FlashFXP
    • Fling FTP
    • LeechFTP
    • NCFTP
    • SmartFTP
    • Total Commander
    • WebDrive
    • WinSCP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • WhatsApp
    • Yahoo Messenger

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Hace lo siguiente:

• It terminates itself if the loaded DLLs has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters