Backdoor.Win32.REVCODE.THDBABO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Downloads\Zoom.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Temp%\{random characters}.bat
• %Application Data%\Downloads\Zoom.exe:ZoneIdentifier

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\ZoomInstaller.exe
  (Legitimate Zoom installer)

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %System%\notepad.exe "%Application Data%\Downloads\Zoom.exe"
• %User Temp%\{random characters}.bat

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Injiziert Code in die folgenden Prozesse:

• {malware fullpath}

Autostart-Technik

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• Zoom.vbs

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Add registry key
• Add registry value
• Change saved data on clipboard
• Clear clipboard
• Close all connections
• Copy file
• Delete file
• Delete key-log
• Delete registry key
• Delete registry value
• Download file
• Edit registry value
• Execute downloaded file
• Execute file
• Get all connections
• Get application list
• Get audio drivers list
• Get devices state list
• Get hardware information
• Get installed devices
• Get key-log information
• Get process list
• Get registry key list
• Get registry value list
• Get saved data on clipboard
• Get service list
• Get thumbnail
• Get webcam drivers
• Get webcam snapshot
• Open cmd
• Pause service
• PDG proxy start
• PDG proxy stop
• PDG screen stream start
• PDG screen stream stop
• Remote code execution
• Rename registry value
• Resume process
• Resume service
• Screen stream start
• Screen stream stop
• Set process priority
• SSL screen start
• SSL screen stop
• Start audio stream
• Start keylog stream
• Start service
• Start Wireless Access Point
• Stop audio stream
• Stop keylog stream
• Stop service
• Stop Wireless Access Point
• Suspend process
• Terminate process
• Uninstall application
• Uninstall service
• Upload file

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• https://213.{BLOCKED}.{BLOCKED}.96/recv7.php

Andere Details

Es macht Folgendes:

• It terminates itself if the any of following processes is found:
  • aswidagent.exe
  • avastsvc.exe
  • avastui.exe
  • avgsvc.exe
  • avgui.exe
  • avp.exe
  • bdagent.exe
  • bdwtxag.exe
  • dwengine.exe
  • mpcmdrun.exe
  • msmpeng.exe
  • nissrv.exe
  • ollydbg.exe
  • procexp.exe
  • procexp64.exe
  • procmon.exe
  • procmon64.exe
  • windbg.exe
• It terminates itself when executed in the following Virtual Environments:
  • Kernel-based Virtual Machine
  • Microsoft Hypervisor
  • Parallels Hypervisor
  • VirtualBox
  • VMware
  • Xen Virtual Machine Manager
• It terminates itself if its file name is found similar to any of the following:
  • malware
  • sample
  • sandbox
• It gathers the following information:
  • Battery Information
    • Estimated Charge Remaining
    • Estimated Runtime
  • Computer Information
    • Domain
    • Last Bootup
    • Name
    • Uptime
    • Username
  • Desktop Monitor Information
    • Screen Height
    • Screen Width
  • Memory Information
    • RAM Capacity
    • RAM Manufacturer
    • RAM Speed
  • Network Adapter Configuration
    • MAC Address
    • LAN IP
  • OS Information
    • Architecure
    • Build Number
    • Language
    • Version
  • Processor Information
    • Max Clock Speed
    • Processor Name
  • Video Controller Information
    • Driver Version
    • Name