WORM_UTOTI.KH

Canal de infecção: Verbreitet sich über Wechseldatenträger

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen. Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Ändert Registrierungseinträge, um System- und schreibgeschützte Dateien zu verbergen.

Schleust Kopien von sich selbst in Netzlaufwerke ein. Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Tipo de compactação: 581,120 bytes

Tipo de arquivo: PE

Residente na memória: Sim

Data de recebimento das amostras iniciais: 29 novembro 2010

Carga útil: Hides files and processes

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

%System Root%\KHATRA.exe
%Windows%\Xplorer.exe
%Windows%\KHATARNAKH.exe
%System%\KHATRA.exe
%Windows%\system\gHost.exe
%Application Data%\Microsoft\CD Burning\KHATRA.exe
%Application Data%\Microsoft\CD Burning\winxp.exe
%Application Data%\Microsoft\CD Burning\New Folder(3).exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht bösartige Datei ein:

%Windows%\inf\Autoplay.inF

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
G_Host = %Windows%\System\gHost.exe /Reproduce

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Xplorer = ""%Windows%\Xplorer.exe" /Windows"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%System%\KHATRA.exe"

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%System%\KHATRA.exe"

(Note: The default value data of the said registry entry is "".)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Nico Mak Computing\
WinZip\caution
NoUnsafeTypeCautionForSCR = "1"

HKEY_CURRENT_USER\Software\Nico Mak Computing\
WinZip\caution
NoUnsafeTypeCautionForEXE = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Internet Exploiter"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoControlPanel = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG
EnableFileTracing = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG
EnableConsoleTracing = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG
FileTracingMask = dword:ffff0000

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG
ConsoleTracingMask = ffff0000

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG
MaxFileSize = 00100000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = 0

Ändert die folgenden Registrierungsschlüssel/-einträge während der eigenen Installation:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = ff

(Note: The default value data of the said registry entry is 91.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mnmsrvc
Start = 2