Backdoor.Win32.CARBANAK.A

Hört Ports ab. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Liest die eigene Konfigurationsdatei, die Befehle und Daten enthält, die an einen Remote-Server gesendet werden sollen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Startup%\{random characters}.exe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {random characters}

Injiziert Code in die folgenden Prozesse:

• services.exe - if AVG Product is installed
• iexplore.exe - if Trend Micro Product is installed
• mstsc.exe - if Trend Micro Product is installed and iexplore.exe is not found
• svchost.exe

Backdoor-Routine

Hört folgende Ports ab:

• 443

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute commands specified in the configuration file
• Set the loaded state of the bot
• Run Ammyy plugin
• Update bot
• Use specified proxy settings
• Create or deletes a user with rights for RDP
• Delete specified service or file
• Download and executes a file in memory
• Retrieve user credentials using the mimikatz library
• Take a screenshot and sends it to the C&C server
• Run VNC plugin
• Uninstall bot
• List all running processes
• Initiate a reverse shell to the server

Liest die eigene Konfigurationsdatei, die Befehle und Daten enthält, die an einen Remote-Server gesendet werden sollen.

Andere Details

Schleust folgende Dateien/Komponenten ein:

• %All User Profile%\Application Data\Mozilla\{random characters}.bin