BKDR_DASERF.NZU

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\sd{random characters}.tmp.bat
• %User Temp%\rr{random characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\29561
• Global\stpbpuac

Injiziert Code in die folgenden Prozesse:

• svchost.exe
• explorer.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Enum

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
ImagePath = "%Program Files%\Common Files\system\reginie.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
DisplayName = "swprv4"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7
Description = "Manages software-based volume shadow copies taken by the Volume Shadow Copy service. If this service is stopped, software-based volume shadow copies cannot be managed. If this service is disabled, any services that explicitly depend on it will fail to start."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Security
Security = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Enum
0 = "Root\LEGACY_SWPRV7\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Enum
Count = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\swprv7\Enum
NextInstance = 1

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute Powershell commands
• Uninstall itself
• Install PlugIn
• Change Activity Time
• Change download URL
• Sleep
• Gather System Information
• Perform Remote Shell
• Create or terminate processes
• Upload, Download, or Execute Files
• Enumerate all drives with corresponding drive types
• Get sha1/md5 of file
• Search, Move, or Delete files
• Get File Information
• Create, Change, or Delete Directory
• Enumerate files and directories

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://www.{BLOCKED}urch.net/geditor/icons/index.php?id0={value}&id1={value}&id2={value}&id3={value}&id6={value}

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Program Files%\Common Files\System\reginie.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• System Default Language ID
• OS Version
• Is administrator
• Is 64-bit
• Available Disk Space
• User Name