TROJAN.WIN32.DISTTRACK.AA

Anschließend werden die eingeschleusten Dateien ausgeführt. Dadurch können die bösartigen Routinen der eingeschleusten Dateien auf dem betroffenen System aktiv werden.

Installation

Schleust folgende Komponentendateien ein:

• %Temp%\key8854321.pub
• %Windows%\inf\averbh_noav.pnf
• %Windows%\hdv_725x.sys -> normal file

(Hinweis: %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\MaintenaceSrv32.exe - 32 bit system
• %System%\MaintenaceSrv64.exe - 64 bit system

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Verbreitung

Schleust Eigenkopien in die folgenden Freigabeordner ein:

• ADMIN$
• C$\WINDOWS
• D$\WINDOWS
• E$\WINDOWS

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\{wiper name} ← used to overwrite the disk
  where {wiper name} is any of the following:
  • _tdibth.exe
  • _wialx002.exe
  • acpipmi2z.exe
  • af0038bdax.exe
  • arcx6u0.exe
  • averfix2h826d_noaverir.exe
  • hidirkbdmvs2.exe
  • mdamx_5560.exe
  • mdmgcs_8.exe
  • mdmusrk1g5.exe
  • megasasop.exe
  • netbxndxlg2.exe
  • prncaz90x.exe
  • prngt6_4.exe
  • prnlx00ctl.exe
  • prnsv0_56.exe
  • tsprint_ibv.exe
  • vsmxraid.exe
  • wiacnt7001.exe
• %System%\{network communicator name} -> Used to connect to its C&C server
  where the {network communicator name} can be any of the following:
  • netnbdrve.exe
  • prnod802.exe
  • netrndiscnt.exe
  • netrtl42l.exe
  • mdmadccnt.exe
  • prnca00.exe
  • bth2bht_ibv32.exe
  • cxfalcon_ibL32.exe
  • mdmsupr30.exe
  • digitalmediadevicectl.exe
  • mdmetech2dmv.exe
  • netb57vxx.exe
  • winwsdprint.exe
  • prnkwy005.exe
  • composite005.exe
  • mdmar1_ibv32.exe
  • prnle444.exe
  • kscaptur_ibv32.exe
  • mdmzyxlga.exe
  • usbvideob.exe
  • input_ibv48.exe
  • prnok002_ibv.exe
  • averfx2swtvZ.exe
  • wpdmtp_ibv32.exe
  • mdmti_ibv32.exe
  • printupg_ibv32.exe
  • wiabr788.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Anschließend werden die eingeschleusten Dateien ausgeführt. Dadurch können die bösartigen Routinen der eingeschleusten Dateien auf dem betroffenen System aktiv werden.

Andere Details

Fügt die folgenden Dienste hinzu und führt sie aus:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
ImagePath = "{drop copy} LocalService" or "{malware path and filename} LocalService"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
DisplayName = "Maintenace Host Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
DependOnService = "RpcSs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
Description = "The Maintenace Host service is hosted in the LSA process. The service provides key process isolation to private keys and associated cryptographic operations as required by the Common Criteria. The service stores and uses long-lived keys in a secure process compl0"