Backdoor.MSIL.REMCOS.JCASNR

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\fope.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\GTX-Vidia\logs.dat → record of user keystrokes
• %User Temp%\install.vbs
• %User Temp%\update.vbs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "cmd.exe" /C schtasks /create /sc minute /mo 1 /tn "Nafdnasia" /tr %Application Data%\fope.exe /f
• "cmd.exe" /C copy "{Malware File Path}\{Malware File Name}.exe" "%Application Data%\fope.exe"
• %Windows%\Microsoft.NET\Framework\{.NET Version}\RegAsm.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Erstellt die folgenden Ordner:

• %Application Data%\GTX-Vidia

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Mutex_RemWatchDog
• ewi742dnd-7CE5YY

Injiziert Code in die folgenden Prozesse:

• %Windows%\Microsoft.NET\Framework\{.NET Version}\RegAsm.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\ewi742dnd-7CE5YY
exepath = {hex values}

HKEY_CURRENT_USER\Software\ewi742dnd-7CE5YY
licence = {hex values}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Open and close camera
• Start and stop keylogger
• Download files
• Upload files
• Delete files
• Rename files
• Enumerate files
• Execute files
• Browse directory
• Delete directory
• Play, pause, and stop an alarm
• Play, pause, stop, and record audio
• Change desktop wallpaper
• Enumerate running processes
• Execute cmd.exe
• Manage services (Create, Enumerate, Modify, Start, Stop, and Delete)
• Manage registry keys and entries (Create, Enumerate, Modify, and Delete)
• Bypass UAC to escalate its privileges in the victim machine
• Restarts the affected machine
• Sleeps the affected machine
• Logs off the affected machine
• Shutdown the affected machine
• Create image
• Screen capture user's desktop
• Set, copy, and clear clipboard data
• Retrieve and clear login data and cookies from the following web browsers:
  • Chrome
  • Firefox
  • Internet Explorer
• Display a message box
• Maximize/minimize application
• Get active program's window title
• Add, modify, or delete an icon from the taskbar's status area

However, as of this writing, the said sites are inaccessible.

Datendiebstahl

Folgende Daten werden gesammelt:

• User Name
• Computer Name
• Product Name
• Windows Architecture
• User Keystrokes
• Locale Information
• User Privileges (User or Administrator)
• Clipboard Data
• Keyboard Input
• User Activity (Idle Time)
• Mouse Activity
• Memory Information
• System Drive Information