BKDR_CRIDEX.FFD

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %User Profile%\Application Data\KB{random number}.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Profile%\Application Data\{random folder name}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Local\XME{8 random characters}
• Local\XMM{8 random characters}
• Local\XMI{8 random characters}
• Local\XMS{8 random characters}
• Local\XMF{8 random characters}
• Local\XMR{8 random characters}
• Local\XMQ{8 random characters}
• Local\XMB{8 random characters}

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
KB{random number}.exe = "%User Profile%\Application Data\KB{random number}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random value 1}

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\{random value 2}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Monitor browser cookies
• Download and execute arbitrary files
• Upload stolen information
• Download configuration files

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://{BLOCKED}.{BLOCKED}.87.172:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.168.98:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.203.140:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.221.6:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.23.100:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.5.140:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.12.158:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.122.8:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.0.138:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.41.155:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.144.115:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.42.98:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.144.158:8080/mx/5/A/in/
• http://{BLOCKED}.{BLOCKED}.76.102:8080/mx/5/A/in/

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• \.com/k1/
• /ach/
• /authentication/zbf/k/
• /bb/logon/
• chase\.com
• /cashman/
• /cashplus/
• /clkccm/
• /cmmain\.cfm
• /cmserver/
• /cmwire
• achredirect\.aspx
• cbonline
• /ebc_ebc1961/
• /ibs\.
• /ibws/
• /icm/
• /icm2/
• /inets/
• /livewire/
• /loginolb/loginolb
• /netbnx/
• /olbb/
• /phcp
• /sbuser/
• /smallbiz/
• /wcmpw/
• /webcm/
• /wire/
• /wires/
• 2checkout\.com
• ablv\.com
• access\.jpmorgan\.com
• access\.usbank\.com
• accessbankplc\.com
• accountoverview\.aspx
• accurint\.com
• achieveaccess\.citizensbank\.com
• achpayment
• achweb\.unionbank\.com
• achworks\.com
• alltimetreasury\.pacificcapitalbank\.com
• alphabank\.com
• amegybank\.com/
• anb\.portalvault\.com
• atbonlinebusiness\.com
• auth\.umb\.com
• authmaster\.nationalcity\.com
• baltikums\.com
• baltikums\.eu
• banesco\.com\.pa
• bankbyweb
• bankfirst\.com
• banking\.calbanktrust\.com
• banking\.firsttennessee\.biz
• accurint\.com
• plainscapital\.gfxwebwire\.com
• sterlingpayment\.com
• rbsm\.com
• business\.swedbank\.lv
• secure\.accesshorizon\.com
• myonline\.bankbv\.com
• cencorpcu\.com/
• banknet\.lv
• bankofbermuda\.com
• bankofcyprus\.com
• bankonline\.sboff\.com
• bankonline\.umpquabank\.com
• bbo\.1stsource\.com
• bib\.lv
• billauth
• billmenu
• bizcurrency\.com
• blilk
• bmo\.com/
• bmoharrisprivatebankingonline\.com
• bmomutualfunds\.com
• bnycash\.bankofny\.com
• bob\-w\.
• bob\.sovereignbank\.com
• bolb\-east\.associatedbank\.com
• bolb\-west\.associatedbank\.com
• bolb\.
• boveda\.banamex\.com\.mx
• bscincky\.com
• business\.macu\.com
• business\.netbankerplus\.com
• business_solutions
• businessaccess\.citibank\.citigroup\.com
• businessappshome
• businessbanking\.cibc\.com
• businessclassonline\.compassbank\.com
• businesslogin
• businessmanager\.com
• businessonline
• businessportal\.mibank\.com
• butterfieldonline\.ky
• bxs\.com
• cashanalyzer\.com
• cashmanager\.mizuhoe\-treasurer\.com
• cashmgmt
• cashmgt
• cashproonline\.bankofamerica\.com
• bankofamerica\.com
• cashproweb\.com/cpwportal
• cbbusinessonline\.com
• cencorpcu\.com
• cfgbusinessaccess\.com
• checkgateway
• checkout\.com/va/login
• cib\.bankofthewest
• cibconline\.cibc\.com
• cimbanque\.net
• citizensbankmoneymanagergps\.com
• cmachm\.w
• cmbmnt\.w
• cmol\.bbt\.com/auth
• cmwirp\.w
• cnbsec1\.
• colb\.
• comerica\.com
• commercebusinessdirect\.com
• commercial\.wachovia\.com
• commercialservices
• connect\.bankcolonial\.com
• connect\.colonialbank\.com
• constitutioncorp\.org
• corpach
• corporate\.epfc\.com
• corporateaccounts
• corporatebankingweb
• corporateconnect\.net
• corpower\.coop
• createcorpwire
• createwire
• cu\.com
• cu\.org
• danskebanka\.lv
• db\-direct\.db\.com
• directline4biz\.com
• directnet\.com
• e\-moneyger
• e\-norvik\.lv
• easywebcpo\.td\.com/waw/idp
• ebanking\-services
• ebemo\.bemobank\.com
• ebill\.highmark\.com
• ecash\.
• ecm\-transfers\.unionbank\.com
• ecms\.unionbank\.com
• efirstbank\.com
• ekp\.lv
• enternetbank\.com
• enterprise2\.openbank\.com
• epd\.uscentral\.org
• eurobankefg\.com
• exact4web
• exness\.com
• express\.53\.com
• expressdeposit\.colonialbank\.com
• fbmedirect\.com
• ffinonline\.com
• ffrontier\.com
• firstbancorp\.com
• firstbanks\.com
• firstcitizens\.com
• fnfgbusinessonline\.enterprisebanker\.com
• fxpayments\.americanexpress\.com
• geonline\.lv
• global\-ebanking\.com
• global1\.onlinebank\.com
• globalink\.leumiusa\.com
• goldleaf
• guard\.scotiabank\.com
• handelsbanken\.lv
• hbcash\.exe
• hblibank\.com
• hbproxy\.exe
• hellenicnetbanking\.com
• hillsbank\.com
• hiponet\.lv
• hkbea
• hsbc\.com\.mx
• i\-linija\.lt
• ib\.dnb\.lv
• ibanking\-services\.com
• ibbpl2\.com
• ibbpowerlink\.com
• ibbusinessnet\.com
• ibcbankonline\.ibc\.com
• ifxmanager\.bankofny\.com
• ifxmanager\.bnymellon\.com
• inetbanker
• injectreceiver
• internationalbanking\.
• internationalpayments\.
• internet\-ebanking\.com
• internetbanker\.cc
• itinternet\.net
• itreasury\.amsouth\.com
• ktt\.key\.com
• lakelandbank\.com
• libertymutualbusinessdirect\.com
• lionbank\.com
• login_business\.asp
• logincm
• loyalbank\.com
• lv\.unicreditbanking\.net
• marfinbank\.com\.cy
• mbachexpress\.com
• mcb\-home\.com/online
• memberach
• metrobankdirect\.com
• midatlanticcorp\.org
• moneymanagergps\.com
• multinetbank\.eu
• my\.statestreet\.com
• mycorporate\.org
• myonlineservices\.cbolobank\.com
• nashvillecitizensbank\.com
• nationalcity\.com/consultnc
• nbarizona\.com/login_business\.jsp
• nbb\.controlsecure\.com
• ncms\-inc\.com
• netteller
• nfbconnect\.com
• northbaybancorp\.com
• northerntrust\.com
• norvik\.lv
• nsbank\.com
• ntrs\.com
• nubi
• olb\.
• olb\.ent\.com/business/
• online\-offshore\.lloydstsb\.com
• online\.1stnb\.com
• online\.alphabank\.com
• online\.citadele\.lv
• online\.dollarbank\.com
• online\.ibl\.com\.lb
• online\.lkb\.lv
• online\.ovcb\.com
• online\.usb\.com\.cy
• online\.wilberbank\.com