Backdoor.Win64.KIVARS.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\win9809.tmp -> encrypted file containing keylogged keystrokes

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• AAA%332^*7

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Get Idle Time
• Send Keylogged File Contents
• Delete Keylogged File
• Get Drives' Type
• Find File/s Or Folder/s names and timestamp
• Download Component File
• Start Process
• Delete File
• Create Directory
• Execute Command
• Delete Directory
• Show Window
• Destroy Window
• Set Window to Foreground
• Hide Window
• Set Window Text
• Get Screen Resolution
• Take a screenshot
• Send Mouse Input
• Send keyboard Input
• Terminate Process
• Enumerate Processes
• Read Data from Pipe Connection
• Write to File
• Get PC Name, OS Version, and User Name

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\werfc0908.dat -> encrypted component file loaded by the malware

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Datendiebstahl

Stiehlt folgende Daten:

• Computer Name
• User Name
• IPv4 Address
• Current Process ID
• Volume Information
• Locale Info
• Keyboard Layout Name
• The following environment paths of the machine:
  • %Application Data%\Microsoft\Windows\Recent
  • %Desktop%
  • %User Profile%\Documents

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.