Backdoor.Win32.PLUGX.DUKTA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %All Users Profile%\xs\{Characters based on volume serial number} (if OS version is higher than or equal to Windows Vista)
• %All Users Profile%\DRM\xs\{Characters based on volume serial number} (if OS version is lower than or equal to Windows Server 2003 R2)

Fügt die folgenden Prozesse hinzu:

• "%System%\rundll32.exe" "%System%\wininet.DLL",DispatchAPICall 1

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• !@)*#()!@*#)(@!*#)(@!*#()@!&%$*(@#&Y*($@YHR*(IUYH*(!Y$@&*&Y@GRH&*@!YR*@&$R(*@!&U!@!@#@!#@!#@!#@#@!#@#@*U$()!@U$Y#H*(!$Y*&@!$Y#
• Global\{Characters based on process ID}

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HelpPanes = %Windows%\HelpPanes.exe

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot/Shutdown system
• Display a message box
• Perfrom port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Host Telnet server
• Connect to a database server and execute SQL statement

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://active.{BLOCKED}app.com:53/{Random characters}

Andere Details

Es macht Folgendes:

• It renames itself to %Windows\HelpPanes.exe.