BKDR_FULAIRO.SM

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Autostart-Technik

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• AntiVir_Update.url

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• It receives a shell command from http://{CnC Server}/{varies}/com.php and performs it using shell execute.
• The output result will be saved as %User Temp%\~AC43E.tmp and will be sent via http as http://{CnC Server}/{varies}/info.php?Re={output result}. %User Temp%\~AC43E.tmp will be deleted afterwards.

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{C&C Server}/{Varies}/update.html

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\~WDA4581A.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• list of running processes

Entwendete Daten

Speichert die entwendeten Informationen in der folgenden Datei:

• %User Temp%\~Pro75C.DAT

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{C&C server}/{varies}/info.php?secue={status}&pro={logged info(running processes)}