Backdoor.Win32.SDBBOT.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• When ran in a system with a version lower than or equal to Windows 7:
  • Without administrator rights:
  • %Application Data%\{15 Random Characters}.dll
  • With administrator rights:
  • %User Temp%\sdb{4-digit Hex Numbers}.tmp
  • %User Temp%\SDB{4-digit Hex Numbers}.tmp
  • %Windows%\AppPatch\Custom\{Hex Values}.sdb
• When ran in a system with a version greater than Windows 7:
• Without administrator rights:
• %Application Data%\mswinload.dll
• With administrator rights:
• %System%\mswinload0.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\sdbinst.exe" -q -p "%User Temp%\sdb{4-digit Hex Numbers}.tmp"

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• windows_7_windows_10_check_running_once_mutex

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{15 Random Characters} = rundll32 %Application Data%\{15 Random Characters}.dll , #1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mswinload = rundll32 %Application Data%\mswinload.dll , #1

Fügt die folgenden "Image File Execution Options"-Registrierungseinträge hinzu, um sich beim Starten bestimmter Anwendungen automatisch selbst auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
winlogon.exe
VerifierDlls = mswinload0.dll

Andere Systemänderungen

Löscht die folgenden Dateien:

• %User Temp%\SDB{4-digit Hex Numbers}.tmp
• %Windows%\AppPatch\Custom\{Hex Values}.sdb

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 Random Letters}
{1 Random Letter} = {Hex Values}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}
{1 Random Letter} = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe
{Hex Values}.sdb = {Timestamp}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb
DisplayName = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb
UninstallString = %System%\sdbinst.exe -u %Windows%\AppPatch\Custom\{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabasePath = %Windows%\AppPatch\Custom\{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseType = {Numbers}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseDescription = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}
DatabaseInstallTimeStamp = {Timestamp}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute CMD Commands
• Reboot the System
• Sleep
• Record Video
• Enable/Disable RDP
• Port Forward
• Inject PE Files
• Get Drive Information and Directories/Files
• Manage Files (Create,Read,Write,Delete)
• Create Directory

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• https://{BLOCKED}003774-live.com
• https://{BLOCKED}000846-live.com

Datendiebstahl

Folgende Daten werden gesammelt:

• Domain Name
• Computer Name
• Country Code
• OS Version and Architecture
• User Privilege
• Proxy Settings

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 Random Letters}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 Random Letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{Hex Values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{Hex Values}

Es macht Folgendes:

• After installing itself in the system, the system it is running on needs to be rebooted in order for it to proceed with its other malicious routines.
• It checks the user privilege it is run with and depending on what was used it will use the following registry tree:
  • HKEY_LOCAL_MACHINE → When run with administrator rights
  • HKEY_CURRENT_USER → When run without administrator rights
• The created registry key contains the loader for the encrypted RAT component and the encrypted RAT component itself.
• It checks the version of the system it is running on and depending on the result will use different ways of establishing persistence:
  • For systems running with a version lower than or equal to Windows 7:
    • Via Applications Shims (Installed with sdbinst.exe)→ When run with administrator rights
    • Via Registry Run Keys → When run without administrator rights
  • For systems running with a version greater than Windows 7:
    • Via Registry Run Keys → When run without administrator rights
    • Via Image File Execution Options Keys → When run with administrator rights