Trojan.X97M.PANDASTEAL.THDABBA

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。它开始执行然后再删除。

新病毒详细信息

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安装

它植入下列文件：

• %User Temp%\R9w.VBS

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它添加下列进程：

• cmd.exe /c {Long Command}
  • Where {Long Command} contains the following commands:
    • Creation of VBS File.
    • wscript %User Temp%\R9w.VBS
    • del %User Temp%\R9w.VBS
    • timeout 13
    • %User Temp%\FSST.exe

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他系统修改

它删除下列文件：

• %User Temp%\R9w.VBS

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

下载例程

它使用下列文件名保存下载的文件：

• %User Temp%\FSST.exe - detected as Trojan.Win32.PANDASTEAL.THDABBA

其他详细信息

该程序执行以下操作：

• The contained malicious macro will only run if the version of Office it is running on is Microsoft Office 2013 (64bit).
• It displays the following to lure users into enabling macro content: