Backdoor.MSIL.REMCOS.AOZ

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Wird möglicherweise von anderer Malware eingeschleust.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird möglicherweise von der folgenden Malware eingeschleust:

• Trojan.P97M.REMCOS.AB

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %AppDataLocal%\Usermodehost.exe

Fügt die folgenden Prozesse hinzu:

• cmd.exe /c copy "%User Temp%\dee.1exe" "%AppDataLocal%\Usermodehost.exe"

Erstellt die folgenden Ordner:

• %Application Data%\remcos

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Remcos_Mutex_Inj
• nenye-IEA1X9

Autostart-Technik

Schleust die folgenden Dateien ein:

• %Application Data%\remcos\logs.dat -> log file used by the malware to store information sniffed by the keylogger

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %User Startup%\Usermodehost.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\nenye-IEA1X9
licence = "{data}"

HKEY_CURRENT_USER\Software\nenye-IEA1X9
exepath = "{hex values}"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Rename File
• Delete File
• Find File
• Download File
• Execute A File
• Upload File
• Execute a command
• Execute Downloaded File
• Terminate Process
• Close Window
• Change Window Text
• Show Window
• Enum Window
• Terminate Thread
• Change Wallpaper
• Empty Clipboard
• Get Clipboard Contents
• Set Clipboard Contents
• Shutdown Windows
• Show message box
• Modify registry
• Enumerate registry key/entries
• Get Keyboard Layout Information
• Activate Keylogger
• Turn Off Keylogger
• Connect to a server
• Close Connection
• Clear browser logins and cookies
• Get process id of window
• Hide or Show Window
• Uninstall Self
• Update Self
• Terminate Self
• Terminate Process
• List files and subfiles in directory
• Modify Service
• Play Sound
• Create Alarm
• Switch Windows
• Get DxDiag Information
• Get System Timing Information
• Open CMD
• Close Socket
• Change Keep-Alive timeout
• Capture Image Using Camera

Datendiebstahl

Stiehlt folgende Daten:

• Operating System Version
• User Privilege (Admin or Non-Admin)
• Processor Revision No.
• Processor Level
• Processor Identifier
• Processor Architecture
• System type (32-bit or 64-bit)
• Keyboard Layout
• Keyboard Key Pressed
• Idle Time of User
• Clipboard Contents
• User Name
• Computer Name

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.