BKDR_HACKDOOR.BB

Wird als Datei übertragen, die die Funktionen anderer Malware/Grayware/Spyware exportiert. Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Die Hauptkomponente muss die vorgesehene Routine erfolgreich ausführen.

Übertragungsdetails

Wird als Datei übertragen, die die Funktionen anderer Malware/Grayware/Spyware exportiert.

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Installation

Schleust folgende Dateien/Komponenten ein:

• %System%\drivers\dump_En.sys - deleted afterwards
• %System%\drivers\dump_.sys - deleted afterwards

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\SystemTime0
• Global\SystemTime2

Autostart-Technik

Startet die folgenden Dienste:

• IPFILTERDRIVER
• dump_

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER
NextInstance = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Service = "IpFilterDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Legacy = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
ConfigFlags = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Class = "LegacyDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
ClassGUID = {GUID}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control
NewlyCreated* = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control
ActiveService = "IpFilterDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
DisplayName = "dump_"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
0 = "Root\LEGACY_IPFILTERDRIVER\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
NextInstance = "1"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Manage Files (Search, Execute, Delete, Copy, Move)
• Manage Registries (Search, Delete, Create)
• Manage Processes (Open, Terminate)
• Manage Services (Query, Start)
• Manage Windows
• Manage Directories
• Shut Down Computer
• Download Files

Datendiebstahl

Folgende Daten werden gesammelt:

• OS Version
• Host Name
• Computer Name
• IP Address

Andere Details

Die Hauptkomponente muss die vorgesehene Routine erfolgreich ausführen.