Backdoor.MSIL.BLADABINDI.POWRHV

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = {Backdoor directory}

Schleust die folgenden Dateien ein:

• %User Startup%\Windows.exe → renamed backdoor file.
• %Application Data%\Microsoft\Windows\Templates\Windows.lnk → shortcut directing to the backdoor file.
• %Application Data%\Microsoft\Windows\Templates\Windows.exe → renamed backdoor file.
• %User Startup%\Windows.lnk → shortcut redirecting to the backdoor file.

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download a file
• Execute a file
• Update files
• Take a screenshot of user's screen
• Install and execute plugin
• Uninstall - remove files and registries associated with the malware
• Terminate malware process
• Monitor user through system camera

However, as of this writing, the said sites are inaccessible.

Datendiebstahl

Folgende Daten werden gesammelt:

• Information from active windows (text information)
• Driver information from the system
• System Volume information
• Volume Serial Number
• Machine Name
• User Name
• Date of Infection
• Operating System
• Operating System Service Pack
• System Type (32-bit/64-bit)
• Values of HKEY_CURRENT_USER\Environment

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER
di = !

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

Es macht Folgendes:

• It uploads system information including system name, host, and port to a supplied Discord link/channel.