BKDR_FOLYRIS.A

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden. Ändert bestimmte Registrierungseinträge, um die automatische Windows Update-Funktion zu deaktivieren. Dadurch wird das betroffene System nicht benachrichtigt, wenn wichtige Windows Updates verfügbar sind.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Ändert Zoneneinstellungen von Internet Explorer.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %Application Data%\Microsoft\update.exe
• %Windows%\-1474012438\taskhost

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %User Profile%\dwm

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• BACKUP_-1474012438
• MAIN_-1474012438
• UPDATE_-1474012438
• UNINSTALL_-1474012438

Beendet die Ausführung der zunächst ausgeführten Kopie und führt stattdessen die eingeschleuste Kopie aus.

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• SbieDll.dll
• snxhk.dll
• dbghelp.dll

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Facebook Update = "%Application Data%\Microsoft\update.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Facebook Update = "%Application Data%\Microsoft\update.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = "%Application Data%\Microsoft\update.exe,explorer.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*-1474012438 = "%Windows%\-1474012438\taskhost"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*-1474012438 = "%Windows%\-1474012438\taskhost"

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %User Startup%\Facebook.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Löscht die folgenden Dateien:

• {Malware path}\{Malware Name}:Zone.Identifier

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

(Note: The default value data of the said registry entry is 0.)

Ändert die folgenden Registrierungseinträge, um die automatische Windows Update-Funktion zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoWindowsUpdate = 1

(Note: The default value data of the said registry entry is 0.)

Ändert die folgenden Registrierungseinträge, um Dateien mit dem Attribut 'Versteckt' zu verbergen:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
CheckedValue = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download/Update itself
• Open Skype Application (If Available)
• Open browser applications and visit arbitrary sites
• Search and Download files from affected systems
• Lock users out of affected system
• Terminate malware from the affected system
• Uninstall malware from the affected system
• Perform DDOS attacks:
  - HTTP GET/POST Flood
  - BANDWIDTH Flood
  - RUDY Flood
  - SLOWLORIS Flood
  - ARME Flood
  - UDP Flood
  - ECF Flood
  - BROWSER BASED Flood
• Terminate Process/es from affected systems
• Delete file/s from affected systems

Sendet die folgenden Informationen an ihren Befehls- und Steuerungsserver (C&C):

• a = URL (Base64 Encoded)
• b = "|type:on_exec|uid:%s|priv:%s|arch:x%s|gend:%s|cores:%i|os:%s|ver:%s|net:%s|new:" (Encrypted)
• c = Data marker of the response (Base64 Encoded)

However, as of this writing, the said sites are inaccessible.

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• autoruns.exe

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Datendiebstahl

Folgende Daten werden gesammelt:

• UID
• PRIVILEDGE (Admin/User/Etc)
• ARCHITECTURE (x86/x64)
• GENDER (Laptop/Desktop/etc)
• NUMBER OF CORES
• OS
• OS VERSION
• .NET VERSION

Andere Details

Setzt die Attribute der eingeschleusten Dateien Versteckt und System:

• %Windows%\-1474012438\taskhost

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Führt DNS-Anfragen an folgende Websites durch:

• http://{BLOCKED}thit.x10.mx