Trojan.Win32.PHORPIEX.R06CC0DJU23

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Profile%\tbnds.dat
• F:\{disk name} ({disk free space}GB).lnk → detected as Trojan.LNK.RUNNER.B
• %User Profile%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe
• %Windows%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\{10 random numbers}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\sysplorsv.exe
• F:\.\VolDriver.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• %Windows%\sysplorsv.exe
• %User Temp%\{10 random numbers}.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• F:\. → hidden

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• 3444rrre
• 333x3333x3

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\sysplorsv.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\win{7 random alphabet characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %User Profile%\win{7 random alphabet characters}

Andere Systemänderungen

Löscht die folgenden Dateien:

• Files found in the removable and/or network drive with the following extension:
  • .lnk
  • .vbs
  • .js
  • .scr
  • .com
  • .jse
  • .cmd
  • .pif
  • .jar
  • .dll
  • .vbe
  • .bat
  • .inf

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiSpywareOverride = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesOverride = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1

(Note: The default value data of the said registry entry is 0.)

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}.{BLOCKED}.{BLOCKED}.125:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.159:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.65:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.56:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.244:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.35:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.26:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.78:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.21:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.238:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.98:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.76:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.209:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.155:40500

Download-Routine

Lädt die Datei von folgendem URL herunter und benennt sie um, wenn sie auf dem betroffenen System gespeichert wird:

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/1
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/2
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/3
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_1
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_2
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_3
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/4
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/5
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/6
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/7
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/8

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{10 random numbers}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Datendiebstahl

Folgende Daten werden gesammelt:

• System Locale
• Disk Information

Andere Details

Es macht Folgendes:

• It avoids deleting files with the following strings in their filename:
  • Thumbs.db
  • desktop.ini
  • $RECYCLE.BIN
  • System Volume Information
  • {disk name} ({disk free space}GB).lnk
• It deletes the origin of itself and its downloaded files from where it was downloaded.
• It terminates itself if the system locale is Ukrainian.
• It sets the attributes of its dropped copy to READONLY and HIDDEN
• It hides and destroys files in the removable and/or network drive.