An¨¢lisis realizado por : Henry Alarcon Jr.   
 Alias

Win32/Spy.Banker.AEGU (ESET-NOD32), SPR/RemoteAdmin.AO (Avira)

 Plataforma:

Windows

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
 Revelaci¨®n de la informaci¨®n:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Trojan Spy

  • Destructivo?
    No

  • Cifrado
    ³§¨ª

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Canal de infecci¨®n Descargado de Internet, Eliminado por otro tipo de malware

Puede haberlo infiltrado otro malware.

Elimina archivos para impedir la ejecuci¨®n correcta de programas y aplicaciones.

Intenta robar la informaci¨®n que se utiliza para iniciar sesi¨®n en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contrase?as).

  Detalles t¨¦cnicos

Tama?o del archivo 10,923,520 bytes
Tipo de archivo DLL
Residente en memoria No
Fecha de recepci¨®n de las muestras iniciales 22 de febrero de 2019
Carga ¨²til Drops files, Deletes files, Steals information, Connects to URLs/IPs, Sends messages, Displays fake login console

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Infiltra los archivos siguientes:

  • %Public%\chrome.LNK ¡û execute the vbs scripts
  • %Public%\Chrome\5.4.8\manifest.json
  • %Public%\Chrome\5.4.8\eventPage.js
  • %Public%\Chrome\5.4.8\6.js
  • %Public%\Chrome\5.4.8\jquery-3.1.1.min.js ¡û normal file
  • %Public%\Chrome\5.4.8\BJava_{6 random characters}{1 random number}_.js ¡û detected as Trojan.JS.BANKER.THBAIAI
  • %Public%\Chrome\5.4.8\GJava_{6 random characters}{1 random number}__.js ¡û detected as Trojan.JS.BANKER.THBAIAI
  • %Public%\Chrome\5.4.8\WJava_{6 random characters}{1 random number}_.js ¡û detected as Trojan.JS.BANKER.THBAIAI
  • %Public%\Chrome\5.4.8\iconos\Java_{6 random characters}{1 random number}_.bmp
  • %Public%\Java_{6 random characters}{1 random number}_\us ¡û Contains Machine name and Password
  • %Public%\Java_{6 random characters}{1 random number}_.vbs ¡û Execute the batch file
  • %Public%\Java_{6 random characters}{1 random number}_.bat ¡û Batch file that will add the Trojan.JS.BANKER.THBAIAI as chrome extensions.
  • %AppDataLocal%\w ¡û Chrome Login Data.
  • %Application Data%\Microsoft\.Out
  • %Public%\Administrador\DP.zip ¡û detected as HKTL_RADMIN

Infiltra y ejecuta los archivos siguientes:

  • %Application Data%\Microsoft\l.ps1 ¡û Obfuscated powershell that gathers email from files in the infected machine.
  • %Public%\Administrador\install.bat ¡û batch file HKTL_RADMIN installation config
  • %Public%\Administrador\RDPWInst.exe ¡û detected as HKTL_RADMIN

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Crea las carpetas siguientes:

  • %Public%\Chrome\5.4.8
  • %Public%\fx6\{5 random numbers}
  • %Public%\Chrome\5.4.8\iconos
  • %Public%\fx6\{5 random numbers}\iconos
  • %Public%\Administrador

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • f_185761_G ¡û If currently login as Administrator in the machine
  • A_242381_B

Otras modificaciones del sistema

Elimina los archivos siguientes:

  • %User Startup%\*.vbs

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Men¨² Inicio\Programas\Inicio).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Terminal Server\WinStations\
RDP-Tcp
UserAuthentication = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Terminal Server
fSingleSessionPerUser = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Terminal Server
fDenyTSConnections = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
1407 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1407 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
1407 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1407 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1407 = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
dontdisplaylastusername = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Terminal Server\WinStations\
RDP-Tcp
SecurityLayer = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Lsa
LimitBlankPasswordUse = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\Terminal Services
Shadow = 0

Robo de informaci¨®n

Intenta robar informaci¨®n de los siguientes bancos y/u otros organismos financieros:

  • Banco Bradesco
  • Banco do Brasil
  • Sicredi

Guarda las direcciones de correo electr¨®nico que recopila en los siguientes archivos:

  • %Application Data%\Microsoft\.Outlook

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Recopila los siguientes datos:

  • Machine Name
  • Machine Password
  • Outlook Email addresses
  • Chrome Login Data

Informaci¨®n sustra¨ªda

Este malware env¨ªa la informaci¨®n recopilada a la siguiente URL a trav¨¦s de HTTP POST:

  • https://{BLOCKED}.{BLOCKED}.00.2
  • https://{BLOCKED}.{BLOCKED}s.net/logsD/index.php?CHLG
  • https://{BLOCKED}.{BLOCKED}s.net/al/index.php

  Soluciones

Motor de exploraci¨®n m¨ªnimo 9.850
Primer archivo de patrones de VSAPI 14.830.05
Primera fecha de publicaci¨®n de patrones de VSAPI 22 de febrero de 2019
Versi¨®n de patrones OPR de VSAPI 14.831.00
Fecha de publicaci¨®n de patrones OPR de VSAPI 23 de febrero de 2019

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 3

Reiniciar en modo seguro

[ aprenda m¨¢s ]

Step 4

Eliminar este valor del Registro

[ aprenda m¨¢s ]

Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
    • DisableAntiSpyware = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • dontdisplaylastusername = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • ConsentPromptBehaviorAdmin = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • ConsentPromptBehaviorUser = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa
    • LimitBlankPasswordUse = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
    • Shadow = "0"

Step 6

Buscar y eliminar estas carpetas

[ aprenda m¨¢s ]
Aseg¨²rese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opci¨®n M¨¢s opciones avanzadas para que el resultado de la b¨²squeda incluya todas las carpetas ocultas.
  • %User Startup%\Java_{6 random character}{1 random number}.LNK
  • %Public%\Java_{6 random characters}{1 random number}_.vbs
  • %Public%\Java_{6 random characters}{1 random number}_.bat
  • %Public%\chrome.LNK
  • %Public%\Java_{6 random characters}{1 random number}_
  • %Public%\Chrome
  • %Public%\fx6
  • %AppDataLocal%\w
  • %Application Data%\Microsoft\.Outlook
  • %Application Data%\Microsoft\.Out

Step 7

Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como TrojanSpy.Win32.BANRAP.AS En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.

Step 8

Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como TrojanSpy.Win32.BANRAP.AS En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Rellene nuestra encuesta!