分析者: Janus Agcaoili   

 :

Spyware.PasswordStealer (Malwarebytes), TrojanDropper.Win32/Rovnix.P (Microsoft), Trojan-Dropper.Win32.Injector.nknu (Kaspersky)

 平台:

Windows

 总体风险等级:
 潜在破坏:
 潜在分布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Spyware

  • 有破坏性?:
    没有

  • 加密?:
    没有

  • In the Wild:
    是的

  概要

感染途徑: 下降了其他恶意软件, 从互联网上下载

如需此「間諜程式」的快速全面一覽,請參閱下面的「安全威脅圖表」。

它修改 Internet Explorer 区域设置。

它然后执行已下载的文件。结果,已下载文件的恶意例程将呈现在受感染的系统中。

  技术详细信息

文件大小: 495,616 bytes
报告日期: EXE
内存驻留: 是的
初始樣本接收日期: 2015年9月24日
Payload: 窃取信息, 下载文件

安装

它使用不同的文件名在下列文件夹中植入自身的副本:

  • "%Application Data%\BackUp{Volume ID}.exe"

(注意: %Application Data% 是当前用户的 Application Data 文件夹,通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它植入下列文件/组件:

  • "%User Temp%\NTFS.sys"
  • "%User Temp%\tmp{3 Random Numbers}.tmp.exe"
  • "%System%\BOOT.dat"

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。. %System% 是 Windows 的 system 文件夹,通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

它添加下列互斥条目,确保一次只会运行一个副本:

  • "Global\INSNTFS{Volume ID}"
  • "Global\UACNTFS{Volume ID}"
  • "Global\BDNTFS{Volume ID}"

自启动技术

它會新增並執行下列服務:

  • %User Temp%\NTFS.sys
    Service Name: "BS{Volume ID}"

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它修改下列注册表项,确保在系统每次启动时自行执行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BackUp{Volume ID} = "%Application Data%\BackUp2326257383.exe"

其他系统修改

它添加下列注册表项:

HKEY_CURRENT_USER\Software\Sysinternals\
C
EulaAccepted = 1

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B2326257383
LP = "%User temp%\L2326257383"

HKEY_USERS\.DEFAULT\Software\
Sysinternals\C
EulaAccepted = 1

它修改下列注册表键值:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
RSA{Volume ID} = "%System%\rundll32.exe "%Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll",DllInitialize

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Disk Defragmenter = "%System%\rundll32.exe "%Application Data%\defragsvc.dll",DllInitialize"

进程终止

它终止在受感染的系统内存中运行的下列进程:

  • iexplore.exe

Web浏览器主页和搜索页面修改

它修改 Internet Explorer 区域设置。

下载例程

它访问下列网站下载文件:

  • http://{BLOCKED}ebabanahujtr.org/53648768.zip

它使用下列文件名保存下载的文件:

  • "%Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll"
  • "%Application Data%\defragsvc.dll"

(注意: %Application Data% 是当前用户的 Application Data 文件夹,通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

趋势科技将下载的文件检测为:

  • TROJ_ROVNIX.YPOD

它然后执行已下载的文件。结果,已下载文件的恶意例程将呈现在受感染的系统中。

信息窃取

它收集下列数据:

  • Information on the Volume Protection/Encryption:
    • Bitlocker
    • TrueCrypt
    • VeraCrypt
  • Windows Version
  • SID Sub Authority and its Count
  • User Account and SIDs
  • NTFS Information
  • Native System Information
  • Product Information
  • OS Architecture (x86/x64)
  • Volume Information
  • List of Running Process
  • File Version Info of Processes Listed
  • File Description of Processes Listed
  • Company Name of Processes Listed
  • Product Version of Processes Listed
  • Product Name of Processes Listed
  • File Time of "%System%\win32k.sys"
  • Information on AV Related Process Running with the following Strings
    • "agnitum"
    • "alwilsoftware"
    • "pctools"
    • "grisoft"
    • "aviragmbh"
    • "aviraproduct"
    • "avirafreeantivirus"
    • "bitdefender"
    • "avginternetsecurity"
    • "comodo"
    • "doctorweb"
    • "eset,spol"
    • "esetsmart"
    • "frisksoftware"
    • "kaspersky"
    • "pandasoftware"
    • "symanteccorporation"
    • "checkpointsoftware"
    • "microsoftsecurity"
    • "microsoftmalware"
    • "mcafee"
    • "bullguard"
    • "novashieldinc"
    • "cjscreturnilsoftware"
    • "sophosplc"
    • "quickhealtechnologies"
    • "gdatasoftware"
    • "beijingrising"
    • "immunetcorporation"
    • "k7computing"
    • "sunbeltsoftware"
    • "beijingjiangmin"
    • "usbdisksecurity"
    • "deepfreeze"
    • "virus"
    • "malware"
    • "rootkit"
    • "rapport"
  • Logs of its successful routines
  • PID of process running the malware (Child and/or Parent)
  • Current Directory of the Malware

(注意: %System% 是 Windows 的 system 文件夹,通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

窃取信息

它将窃取的信息保存在下列文件中:

  • "%User Temp%\L(Volume ID)"
  • "%User Temp%\tmp{4 alphanumeric characters}.tmp"

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它通过 HTTP POST 将收集的信息发送到下列 URL:

  • http://{BLOCKED}ebabanahujtr.org/cgi-bin/150915/post.cgi

  解决方案

最小扫描引擎: 9.750
First VSAPI Pattern File: 11.940.08
VSAPI 第一样式发布日期: 2015年9月25日
VSAPI OPR样式版本: 11.941.00
VSAPI OPR样式发布日期: 2015年9月26日

Step 1

对于Windows ME和XP用户,在扫描前,请确认已禁用系统还原功能,才可全面扫描计算机。

Step 3

重启进入安全模式

[ 更多 ]

Step 4

禁用该恶意软件服务

[ 更多 ]
  • BS{Volume ID}

Step 5

删除该注册表值

[ 更多 ]

注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • BackUp{Volume ID} = "%Application Data%\BackUp2326257383.exe"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • RSA{Volume ID} = "%System%\rundll32.exe "%Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll",DllInitialize
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • Disk Defragmenter = "%System%\rundll32.exe "%Application Data%\defragsvc.dll",DllInitialize"

Step 7

搜索和删除这些文件

[ 更多 ]
有些组件文件可能是隐藏的。请确认在"高级选项"中已选中搜索隐藏文件和文件夹复选框,使查找结果包括所有隐藏文件和文件夹。
  • "%User Temp%\NTFS.sys"
  • "%User Temp%\tmp{3 Random Numbers}.tmp.exe"
  • "%System%\BOOT.dat"

Step 8

搜索和删除这些文件

[ 更多 ]
有些组件文件可能是隐藏的。请确认在"高级选项"中已选中搜索隐藏文件和文件夹复选框,使查找结果包括所有隐藏文件和文件夹。
  • "%User Temp%\L(Volume ID)"
  • "%User Temp%\tmp{4 alphanumeric characters}.tmp"
DATA_GENERIC_FILENAME_1
  • 查找范围下拉列表中,选择
  • 我的电脑然后回车确认。
  • 一旦找到,请选择文件,然后按下SHIFT+DELETE彻底删除文件。
  • 对剩余的文件重复第2到4步:
      • "%User Temp%\L(Volume ID)"
      • "%User Temp%\tmp{4 alphanumeric characters}.tmp"
  • Step 10

    重启进入正常模式,使用亚信安全产品扫描计算机,检测TSPY_ROVNIX.YPOB文件 如果检测到的文件已被亚信安全产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。

    Step 11

    重置Internet 安全设置

    [ 更多 ]