WORM_AUTORUN.BPD
Windows 2000, Windows XP, Windows Server 2003
Tipo de grayware:
Worm
Destrutivo:
Não
Criptografado:
Sim
In the Wild:
Sim
Visão geral
Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.
Detalhes técnicos
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %User Temp%\sob5467.exe
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Dateien ein:
- %User Temp%\ntdbg.dat
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003\desktop.ini
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003\rec
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003\send
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003\send\sysinf
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003\u.dat
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Erstellt die folgenden Ordner:
- %System Root%\RECYCLER\Z-1-6-22-1085480564-571221492-571812059-1003
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SCMTool = "{malware path}\{malware name}"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
@ = "%User Temp%\sob5467.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SCMTool = "{malware path}\{malware name}"
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\IExplorer
SCMTool = "{malware path}\{malware name}"
Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "ff"
(Note: The default value data of the said registry entry is 91.)
Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\IExplorer
HKEY_LOCAL_MACHINE\SOFTWARE\IExplorer\
OptionalComponents
Ändert die folgenden Registrierungseinträge, um Dateien mit dem Attribut 'Versteckt' zu verbergen:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"
(Note: The default value data of the said registry entry is 1.)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"
(Note: The default value data of the said registry entry is 1.)
Verbreitung
Erstellt die folgenden Ordner in allen Wechsellaufwerken:
- Recycled
Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:
- explore.exe
Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.
Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:
[autorun]
ShellExecute=explore.exe
Item=255
SubItem=0
SID=111D30662781