Trojan.MSIL.WHISPERGATE.YXCAQ

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。

新病毒详细信息

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安装

它植入下列文件：

• %User Temp%\Nmddfrqqrbyjeygggda.vbs
• %User Temp%\AdvancedRun.exe
• %User Temp%\InstallUtil.exe

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它添加下列进程：

• powershell.exe -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBzACAAMQAwAA== (Start-Sleep -s 10)
• "%System%\WScript.exe" "%User Temp%\Nmddfrqqrbyjeygggda.vbs"
• "%System%\WindowsPowerShell\v1.0\powershell.exe" Set-MpPreference -ExclusionPath 'c:\'
• "%User Temp%\AdvancedRun.exe" /EXEFilename "%System%\sc.exe" /WindowState 0 /CommandLine "stop WinDefend" /StartDirectory "" /RunAs 8 /Run
• %User Temp%\AdvancedRun.exe" /EXEFilename "%System%\WindowsPowerShell\v1.0\powershell.exe" /WindowState 0 /CommandLine "rmdir '%ProgramData%\Microsoft\Windows Defender' -Recurse" /StartDirectory "" /RunAs 8 /Run
• %User Temp%\InstallUtil.exe

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它向下列进程中注入代码：

• %User Temp%\InstallUtil.exe

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他详细信息

该程序执行以下操作：

• It downloads malicious DLL from the following URL and executes it in memory:
  • https://cdn.discordapp.com/attachments/{BLOCKED}81184768/Tbopbh.jpg
• It executes the following in memory:
  • Trojan.Win32.WHISPERGATE.YXCAX