BKDR_CRIDEX.GLT

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %User Profile%\Application Data\KB{random number}.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %User Temp%\exp{number}.tmp.bat - used to delete the initially executed copy. This file is deleted after execution

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Profile%\Application Data\{random folder name}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Local\XME{8 random characters}
• Local\XMI{8 random characters}
• Local\XMM{8 random characters}
• Local\XMS{8 random characters}
• Local\XMF{8 random characters}
• Local\XMR{8 random characters}
• Local\XMQ{8 random characters}
• Local\XMB{8 random characters}

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
KB{random number}.exe = "%User Profile%\Application Data\KB{random number}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random value 1}

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random value 2}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random value 2}
Default = "{script containing bank-related strings}"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Monitor browser cookies
• Download and execute arbitrary files
• Upload stolen information
• Download configuration files

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://{BLOCKED}.{BLOCKED}.189.180:8080
• http://{BLOCKED}.{BLOCKED}.238.18:8080
• http://{BLOCKED}.{BLOCKED}.61.59:8080
• http://{BLOCKED}.{BLOCKED}.237.9:8080
• http://{BLOCKED}.{BLOCKED}.172.202:8080
• http://{BLOCKED}.{BLOCKED}.102.95:8080
• http://{BLOCKED}.{BLOCKED}.221.6:8080
• http://{BLOCKED}.{BLOCKED}.220.180:8080
• http://{BLOCKED}.{BLOCKED}.221.247:8080
• http://{BLOCKED}.{BLOCKED}.238.9:8080
• http://{BLOCKED}.{BLOCKED}.215.167:8080
• http://{BLOCKED}.{BLOCKED}.213.210:8080
• http://{BLOCKED}.{BLOCKED}.89.82:8080
• http://{BLOCKED}.{BLOCKED}.187.72:8080

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• \.com/k1/
• /ach/
• /authentication/zbf/k/
• /bb/logon/
• chase\.com
• /cashman/
• /cashplus/
• /clkccm/
• /cmmain\.cfm
• /cmserver/
• /cmwire
• achredirect\.aspx
• cbonline
• /ebc_ebc1961/
• /ibs\.
• /ibws/
• /icm/
• /icm2/
• /inets/
• /livewire/
• /loginolb/loginolb
• /netbnx/
• /olbb/
• /phcp
• /sbuser/
• /smallbiz/
• /wcmpw/
• /webcm/
• /wire/
• /wires/
• 2checkout\.com
• ablv\.com
• access\.jpmorgan\.com
• access\.usbank\.com
• accessbankplc\.com
• accountoverview\.aspx
• accurint\.com
• achieveaccess\.citizensbank\.com
• achpayment
• achweb\.unionbank\.com
• achworks\.com
• alltimetreasury\.pacificcapitalbank\.com
• alphabank\.com
• amegybank\.com/
• anb\.portalvault\.com
• atbonlinebusiness\.com
• auth\.umb\.com
• authmaster\.nationalcity\.com
• baltikums\.com
• baltikums\.eu
• banesco\.com\.pa
• bankbyweb
• bankfirst\.com
• banking\.calbanktrust\.com
• banking\.firsttennessee\.biz
• accurint\.com
• plainscapital\.gfxwebwire\.com
• sterlingpayment\.com
• rbsm\.com
• business\.swedbank\.lv
• secure\.accesshorizon\.com
• myonline\.bankbv\.com
• cencorpcu\.com/
• banknet\.lv
• bankofbermuda\.com
• bankofcyprus\.com
• bankonline\.sboff\.com
• bankonline\.umpquabank\.com
• bbo\.1stsource\.com
• bib\.lv
• billauth
• billmenu
• bizcurrency\.com
• blilk
• bmo\.com/
• bmoharrisprivatebankingonline\.com
• bmomutualfunds\.com
• bnycash\.bankofny\.com
• bob\-w\.
• bob\.sovereignbank\.com
• bolb\-east\.associatedbank\.com
• bolb\-west\.associatedbank\.com
• bolb\.
• boveda\.banamex\.com\.mx
• bscincky\.com
• business\.macu\.com
• business\.netbankerplus\.com
• business_solutions
• businessaccess\.citibank\.citigroup\.com
• businessappshome
• businessbanking\.cibc\.com
• businessclassonline\.compassbank\.com
• businesslogin
• businessmanager\.com
• businessonline
• businessportal\.mibank\.com
• butterfieldonline\.ky
• bxs\.com
• cashanalyzer\.com
• cashmanager\.mizuhoe\-treasurer\.com
• cashmgmt
• cashmgt
• cashproonline\.bankofamerica\.com
• bankofamerica\.com
• cashproweb\.com/cpwportal
• cbbusinessonline\.com
• cencorpcu\.com
• cfgbusinessaccess\.com
• checkgateway
• checkout\.com/va/login
• cib\.bankofthewest
• cibconline\.cibc\.com
• cimbanque\.net
• citizensbankmoneymanagergps\.com
• cmachm\.w
• cmbmnt\.w
• cmol\.bbt\.com/auth
• cmwirp\.w
• cnbsec1\.
• colb\.
• comerica\.com
• commercebusinessdirect\.com
• commercial\.wachovia\.com
• commercialservices
• connect\.bankcolonial\.com
• connect\.colonialbank\.com
• constitutioncorp\.org
• corpach
• corporate\.epfc\.com
• corporateaccounts
• corporatebankingweb
• corporateconnect\.net
• corpower\.coop
• createcorpwire
• createwire
• cu\.com
• cu\.org
• danskebanka\.lv
• db\-direct\.db\.com
• directline4biz\.com
• directnet\.com
• e\-moneyger
• e\-norvik\.lv
• easywebcpo\.td\.com/waw/idp
• ebanking\-services
• ebemo\.bemobank\.com
• ebill\.highmark\.com
• ecash\.
• ecm\-transfers\.unionbank\.com
• ecms\.unionbank\.com
• efirstbank\.com
• ekp\.lv
• enternetbank\.com
• enterprise2\.openbank\.com
• epd\.uscentral\.org
• eurobankefg\.com
• exact4web
• exness\.com
• express\.53\.com
• expressdeposit\.colonialbank\.com
• fbmedirect\.com
• ffinonline\.com
• ffrontier\.com
• firstbancorp\.com
• firstbanks\.com
• firstcitizens\.com
• fnfgbusinessonline\.enterprisebanker\.com
• fxpayments\.americanexpress\.com
• geonline\.lv
• global\-ebanking\.com
• global1\.onlinebank\.com
• globalink\.leumiusa\.com
• goldleaf
• guard\.scotiabank\.com
• handelsbanken\.lv
• hbcash\.exe
• hblibank\.com
• hbproxy\.exe
• hellenicnetbanking\.com
• hillsbank\.com
• hiponet\.lv
• hkbea
• hsbc\.com\.mx
• i\-linija\.lt
• ib\.dnb\.lv
• ibanking\-services\.com
• ibbpl2\.com
• ibbpowerlink\.com
• ibbusinessnet\.com
• ibcbankonline\.ibc\.com
• ifxmanager\.bankofny\.com
• ifxmanager\.bnymellon\.com
• inetbanker
• injectreceiver
• internationalbanking\.
• internationalpayments\.
• internet\-ebanking\.com
• internetbanker\.cc
• itinternet\.net
• itreasury\.amsouth\.com
• ktt\.key\.com
• lakelandbank\.com
• libertymutualbusinessdirect\.com
• lionbank\.com
• login_business\.asp
• logincm
• loyalbank\.com
• lv\.unicreditbanking\.net
• marfinbank\.com\.cy
• mbachexpress\.com
• mcb\-home\.com/online
• memberach
• metrobankdirect\.com
• midatlanticcorp\.org
• moneymanagergps\.com
• multinetbank\.eu
• my\.statestreet\.com
• mycorporate\.org
• myonlineservices\.cbolobank\.com
• nashvillecitizensbank\.com
• nationalcity\.com/consultnc
• nbarizona\.com/login_business\.jsp
• nbb\.controlsecure\.com
• ncms\-inc\.com
• netteller
• nfbconnect\.com
• northbaybancorp\.com
• northerntrust\.com
• norvik\.lv
• nsbank\.com
• ntrs\.com
• nubi
• olb\.
• olb\.ent\.com/business/
• online\-offshore\.lloydstsb\.com
• online\.1stnb\.com
• online\.alphabank\.com
• online\.citadele\.lv
• online\.dollarbank\.com
• online\.ibl\.com\.lb
• online\.lkb\.lv
• online\.ovcb\.com
• online\.usb\.com\.cy
• online\.wilberbank\.com