BKDR_DEEPAND.AA

Führt bestimmte Befehle aus, die sie extern von einem böswilligen Benutzer erhält. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten stärker gefährdet.

Ruft bestimmte Informationen vom betroffenen System ab.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %System%\msaudnte.dat

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %System%\Drivers\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}.sys -> to be detected as RTKT_DEEPAND.AA

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• regsvr32.exe {loads %System%\msaudnte.dat}

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}
ImagePath = "%System%\Drivers\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}.sys"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\wuauserv
ServiceDll = "%System%\msaudnte.dat"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\wuauserv
{default} = "2"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\wuauserv
(Default) = "LocalSystem"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\wuauserv
Security = (hex values)

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}
Type = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{AE2A3887-A30A-4B39-A5E6-AC891A07AFF3}
Start = "1"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• List Drive and Description
• List Directory Contents
• Send Outlook Username and Password
• Reverse Shell
• Download Files
• List and Terminate Processes
• Run Arbitrary Files

Datendiebstahl

Ruft folgende Informationen vom betroffenen System ab:

• Computer Name
• OS Version
• User Name