BKDR_PLUGX.CA

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Löscht sich nach der Ausführung selbst.

Installation

Erstellt die folgenden Ordner:

• %All Users Profile%\SxS
• %User Temp%\RarSFX0

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• DoInstPrepare

Bleibt speicherresident, indem Code in folgende Prozesse injiziert wird:

• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Enum

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CLASSES_ROOT\FAST

HKEY_LOCAL_MACHINE\FAST

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000\Control

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CLASSES_ROOT\FAST
CLSID = "{random hex values}"

HKEY_LOCAL_MACHINE\FAST
CLSID = "{random hex values}"

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ImagePath = ""%System%\Nv.exe" 2000"

(Note: The default value data of the said registry entry is "%System%\ups.exe".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Type = "110"

(Note: The default value data of the said registry entry is "10".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Start = "2"

(Note: The default value data of the said registry entry is "3".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ErrorControl = "0"

(Note: The default value data of the said registry entry is "1".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
DisplayName = "ups"

(Note: The default value data of the said registry entry is "Uninterruptible Power Suply".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ObjecName = "LocalSystem"

(Note: The default value data of the said registry entry is "NT AUTHORITY\LocalSevice".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Description = "ups"

(Note: The default value data of the said registry entry is "Manages an uninterruptible power supply (UPS) connected to the computer".)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot system
• Display a message box
• Perfrom port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Connect to a database server and execute SQL statement
• Host Telnet server

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• fuckchina.{BLOCKED}b.com
• wmi.{BLOCKED}1.us

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Temp%\RarSFX0\Nv.mp3
• %User Temp%\RarSFX0\NvSmartMax.dll - also detected as BKDR_PLUGX.CA
• %User Temp%\RarSFX0\Nv.exe
• %System%\Nv.mp3 - (hidden)
• %System%\NvSmartMax.dll - (hidden) also detected as BKDR_PLUGX.CA
• %System%\Nv.exe - (hidden)

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Details

Löscht sich nach der Ausführung selbst.