Backdoor.MSIL.NANOCORE.TIAOODED

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Sammelt bestimmte Informationen auf dem betroffenen Computer.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust folgende Dateien/Komponenten ein:

• %Common Startup%\Chrome.js -> executes the malware
• %Common Startup%\Chrome.lnk -> executes the malware
• Admin Privilege:
  
  • %Program Files%\{String 1}{String 3}\{String 1}{String 2}.exe
• User Privilege:
  
  • %Application Data%\{GUID}\{String 1}{String 3}\{String 1}{String 2}.exe

(Hinweis: %Common Startup% ist der gemeinsame Autostart-Ordner des Systems, normalerweise C:\Windows\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\All Users\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• %Application Data%\{GUID}
• %Application Data%\{GUID}\PCI Service
• %Application Data%\{GUID}\Logs
• %Application Data%\{GUID}\Logs\{UserName}
• %Application Data%\Robocopy
• Admin Privilege:
  
  • %Program Files%\{String 1}{String 2}
• User Privilege:
  
  • %Application Data%\{String 1}{String 2}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String 1}{String 3} = %Program Files%\{String 1}{String 3}\{String 1}{String 2}.exe → Admin Privilege

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String 1}{String 3} = %Application Data%\{GUID}\{String 1}{String 3}\{String 1}{String 2}.exe → User Privilege

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Manage its backdoor file:
  
  • Update itself
  • Restart connection
  • Disconnect
  • Terminate itself
  • Uninstall itself
• System Control:
  
  • Restart machine
  • Shutdown machine
  • Lock machine
  • Browse files and folders
  • Task Manager
  • Edit registry
  • Remote console (Command Prompt)
  • Remote execute a file
  • Remote execute a script (Batch, HTML, VBS, Python, Java, PHP)
  • Remote control the machine
  • Remote control mouse
  • Recover browser passwords
  • Log Keystrokes
  • View the screen/webcam
  • Listen to audio/microphone
  • Send Messages / Chat with the malicious user
  • Swap/Unswap mouse buttons
  • Open/Close CD/DVD Tray

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Application Data%\{GUID}\catalog.dat
• %Application Data%\{GUID}\run.dat
• %Application Data%\{GUID}\settings.bin
• %Application Data%\{GUID}\Logs\{user name}\KB_{Random numbers}.dat
• %Application Data%\{GUID}\task.dat
• %Application Data%\{GUID}\storage.dat

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• Computer Name
• User Name
• CPU Usage
• Available and Free Memory
• Active Window Title
• Operating System Version
• System Type (32-bit or 64-bit)
• Malware Filename
• Installed Anti-Virus/Anti-Spyware

Andere Details

Es macht Folgendes:

• String 1 can be any of the following:
  
  • dhcp
  • upnp
  • tcp
  • udp
  • saas
  • iss
  • smtp
  • dos
  • dpi
  • pci
  • scsi
  • wan
  • lan
  • nat
  • imap
  • nas
  • ntfs
  • wpa
  • dsl
  • agp
  • arp
  • ddp
  • dns
• String 2 can be any of the following:
  
  • ss
  • mon
  • Mgr
  • sv
  • svc
  • host
• String 3 can be any of the following:
  
  • Subsystem
  • Monitor
  • Manager
  • Service
  • Host
• It will drop %Common Startup%\Chrome.js once the following files are found on the affected computer:
  
  • C:\Program Files\AVAST Software\Avast\avastIU.exe
  • C:\Program Files (x86)\AVAST Software\Avast\avastIU.exe
  • C:\Program Files\AVG\Antivirus\AVGUI.exe
  • C:\Program Files (x86)\AVG\Antivirus\AVGUI.exe
• It will drop %Common Startup%\Chrome.lnk once the following directories are found on the affected computer:
  
  • C:\Program Files\Kaspersky Lab\
  • C:\Program Files (x86)\Kaspersky Lab\

(Hinweis: %Common Startup% ist der gemeinsame Autostart-Ordner des Systems, normalerweise C:\Windows\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\All Users\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart unter Windows 2000, XP und Server 2003.)