Trojan.X97M.PANDASTEAL.THDABBA

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

新(xīn)病毒详细信息

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %User Temp%\R9w.VBS

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它添加下列进程：

• cmd.exe /c {Long Command}
  • Where {Long Command} contains the following commands:
    • Creation of VBS File.
    • wscript %User Temp%\R9w.VBS
    • del %User Temp%\R9w.VBS
    • timeout 13
    • %User Temp%\FSST.exe

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他(tā)系统修改

它删除下列文(wén)件：

• %User Temp%\R9w.VBS

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

下载例程

它使用(yòng)下列文(wén)件名(míng)保存下载的文(wén)件：

• %User Temp%\FSST.exe - detected as Trojan.Win32.PANDASTEAL.THDABBA

其他(tā)详细信息

该程序执行以下操作(zuò)：

• The contained malicious macro will only run if the version of Office it is running on is Microsoft Office 2013 (64bit).
• It displays the following to lure users into enabling macro content: