BKDR_CRUGUP.AD

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Versendet die gesammelten Daten über HTTP-Ports an externe Benutzer.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\{Folder Name}\svchost.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{Folder Name}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• GH5K-GKL8-CPP4-DE24

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
z64_kernel = %Application Data%\{Folder Name}\svchost.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
z64_kernel = %Application Data%\{Folder Name}\svchost.exe

Andere Systemänderungen

Erstellt auch die folgenden Registrierungseinträge während der eigenen Installation:

HKEY_CURRENT_USER\Software\cppguru
mv = "Mi4wNQ==" -> base64 encoded version = 2.05

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
{GUID} = "v{version number}|Action=Allow|Active=TRUE|Dir=In|App=%Application Data%\{Folder Name}\svchost.exe|Name=madservice|"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download and execute file
• Use Internet Explorer to connect remote sites
• Update itself
• Delete itself
• Perform denial of service attacks

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://{BLOCKED}otkill.ru/mad/index.php

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• -%Application Data%\sqlite3.dll
• -%Application Data%\WinXP.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Volume serial number
• OS version
• If the machine is running with administrative privileges

Einschleusungspunkte

Versendet die gesammelten Daten über HTTP-Ports an externe Benutzer.