BKDR_NUPIC.RQ

Führt bestimmte Befehle aus, die sie extern von einem böswilligen Benutzer erhält. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten stärker gefährdet.

Ruft bestimmte Informationen vom betroffenen System ab.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\checkdns.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende Komponentendateien ein:

• %WINDOWS%\msgpluse.dll - detected as BKDR_NUPIC.RQ

Fügt die folgenden Prozesse hinzu:

• iexplore.exe

Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

• created iexplore.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{57098B79-D61B-4c35-98DE-5A042D455155}
StubPath = "%Application Data%\checkdns.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKLM\SOFTWARE\Microsoft\
Active Setup\Installed Components\{57098B79-D61B-4c35-98DE-5A042D455155}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Enumerate files and folders
• Enumerate fixed drives and retrieve free disk space
• Delete files and folders
• Download arbitrary files
• Upload files
• Execute cmd shell commands
• Create a Process
• Enumerate Processes and Modules
• Terminate Process

Einschleusungsroutine

Schleust die folgenden Dateien ein, in denen die gesammelten Daten gespeichert werden:

• %Windows%\mss{random characters}.tmp - where cmd shell commands output are piped into
• %User Temp%\msextlog.dll - where cmd shell commands output are piped into
• %User Temp%\msp{random characters}.tmp - where the enumerated processes and modules are saved
• %User Temp%\mspli02.tmp - where the enumerated processes and modules are saved

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Datendiebstahl

Ruft folgende Informationen vom betroffenen System ab:

• Host name
• IP address
• Proxy server