Analisado por: Kathleen Notario   
 

Trojan.Gen (Symantec); Trojan:Win32/Rimecud.A (Microsoft); Trojan.Win32.Inject.bfmc (Kaspersky); W32/Rimecud.gen.br (Mcafee); Mal/Palevo-A (Sophos)

 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Worm

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird.

  Detalhes técnicos

Tipo de compactação: 84,480 bytes
Tipo de arquivo: EXE
Residente na memória: Sim
Data de recebimento das amostras iniciais: 14 julho 2011

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %User Profile%\aegvvp.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

  • svchost.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%User Profile%\aegvvp.exe"

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

  • ultimate

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
USEAUTOPLAY=1
shellexcute=ultimate/window.exe
Shelldisc
shell\Explore\command=ultimate/window.exe
shell\Open\command=ultimate/window.exe
icon=ultimate/window.exe
open=ultimate/window.exe
action=0pen folder to view files using Windows Explorer

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

  • {BLOCKED}na.{BLOCKED}olands.su
  • {BLOCKED}ik.{BLOCKED}-protection.net.ru
  • {BLOCKED}tal.{BLOCKED}owerbord.com
  • {BLOCKED}de.{BLOCKED}usenumber.com
  • {BLOCKED}d.{BLOCKED}tudio.ru