Backdoor.Win32.BIFROSE.AD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\win9809.dat -> encrypted file containing keylogged data

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Get Idle Time
• Upload contents of %User Temp%\win9809.dat containing encrypted keylogger-related logs
• Delete %User Temp%\win9809.dat
• Gather Drives' (A-Z) Information
• Find File
• Create Component file %User Temp%\werfc0908.dat
• Write to Component file %User Temp%\werfc0908.dat
• Upload File
• Create Process
• Create Directory
• Delete File
• Delete Directory
• Execute Command using ShellExecute
• Rename File
• Enumerate all Windows' Names
• Set foreground window
• Hide Window
• Change a window's Title Bar
• Send input/keystrokes to window
• Take Screenshot
• Get Current Display Resolution
• Send Mouse Input
• Get Processes' File Name
• Terminate Process
• Uninstall Self
• Read Data from Pipe Connection
• Write to File

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\werfc0908.dat -> encrypted component file loaded by the malware. Detected as Trojan.Win32.BIFROSE.AA

Datendiebstahl

Stiehlt folgende Daten:

• Computer Name
• User Name
• IPv4 Address
• Current Process ID
• Volume Information
• Locale Info
• Keyboard Layout Name
• If %User Temp%\werfc0908.dat is loaded, passwords/credentials for the following:
  • Passport.net
  • MSN Messenger
  • Messenger Service
  • Mirabilis ICQ
  • Mozilla Firefox Signons and User Profiles
  • Cached Passwords (Windows for Workgroups)
• Folder Paths of the following:
  • %Application Data%\Microsoft\Windows\Recent
  • %Desktop%
  • %User Profile%\Documents

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.