Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Trojan

  • Destrutivo:
    Não

  • Criptografado:
     

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Verbreitet sich über Peer-to-Peer-Netzwerke, Aus dem Internet heruntergeladen


  Detalhes técnicos

Residente na memória: Sim
Carga útil: Drops files, Modifies system registry, Connects to URLs/IPs

Installation

Schleust die folgenden Dateien ein:

  • %System%\{random}32.dll
  • %Application Data%\SystemProc\upd.exe
  • %Application Data%\{CLSID}.manifest
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\chrome.manifest
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\chrome\xulcache.jar
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults\preferences\xulcache.js
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\install.rdf
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome.manifest
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content\timer.xul
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\install.rdf

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %Application Data%\SystemProc\lsass.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %Application Data%\SystemProc
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults
  • %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults\preferences
  • %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = "%Application Data%\SystemProc\lsass.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = "{Malware path and file name}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify
{random} = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\{random}
DllName = "%System%\{random}32.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\{random}
Startup = "EventStartup"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
{random} = "{Hex Values}"

HKEY_CURRENT_USER\Identities
Curr version = "11"

HKEY_CURRENT_USER\Identities
Inst Date = "{DD-M-YYYY}"

HKEY_CURRENT_USER\Identities
Last Date = "{DD-M-YYYY}"

HKEY_CURRENT_USER\Identities
Popup count = "0"

HKEY_CURRENT_USER\Identities
Popup date = "0"

HKEY_CURRENT_USER\Identities
Popup time = "0"

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%System%\{random}32.dll"

(Note: The default value data of the said registry entry is " ".)