Backdoor.MSIL.BLADABINDI.QCI

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Sammelt bestimmte Informationen auf dem betroffenen Computer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Temp%\WindowsServices.exe
• %User Startup%\780bd6b56091ce5e35fbad8ce8517148.exe
• %Program Files%\Tools.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Fügt die folgenden Prozesse hinzu:

• netsh.exe firewall add allowedprogram "%Malware location\{Malware Name}.exe" "{Malware Name}.exe" ENABLE

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• 780bd6b56091ce5e35fbad8ce8517148

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
780bd6b56091ce5e35fbad8ce8517148 = %User Temp%\{Malware Name}

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = 1

HKEY_U\S-1-5-21-2019512041-4230814187-3178073052-1000
di = !

HKEY_CURRENT_USER\Software\780bd6b56091ce5e35fbad8ce8517148
[kl] = {Stolen Information}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download a file
• Execute a file
• Update files
• Take a screenshot of user's screen
• Install and execute plugin
• Uninstall - remove files and registries associated with the malware and revert firewall modification
• Get value/s of HKEY_CURRENT_USER\Software\780bd6b56091ce5e35fbad8ce8517148
• Set value/s of HKEY_CURRENT_USER\Software\780bd6b56091ce5e35fbad8ce8517148
• Delete value/s of HKEY_CURRENT_USER\Software\780bd6b56091ce5e35fbad8ce8517148
• Terminate malware process

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• AV Products
• System Drive Volume Serial Number
• Capture Device Information
• Machine Name
• User Name
• Date of Infection
• Operating System
• Operating System Service Pack
• System Type (32-bit/64-bit)???
• AV Products
• Values of HKEY_CURRENT_USER\Software\780bd6b56091ce5e35fbad8ce8517148
• Active Window

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.