BKDR_DIOFOPI.A

Wird möglicherweise von anderer Malware eingeschleust. Diese Malware kann auf verschiedenste Weise übertragen werden.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen. However, as of this writing, the said sites are inaccessible.

Übertragungsdetails

Wird möglicherweise von anderer Malware eingeschleust.

Die Übertragung kann wie folgt erfolgen:

• CVE-2012-4792

Installation

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• &!#@&

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{785942B1-FDE7-447F-A9C2-694A721FA120}
stubpath = "{Dropped Component Path}\Common Files\DirectDB.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\STS

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{785942B1-FDE7-447F-A9C2-694A721FA120}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\STS
nck = "{Values}"

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}e.yourtrap.com

However, as of this writing, the said sites are inaccessible.

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Computername
• OS Version
• Volume and Drive Information
• System Locale
• Proxy Settings
• Autodial Settings

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Manage Files, Directories and Registries
• List Running Application (window title)
• Download and Execute Arbitrary files
• Load additional plugins
• List Running Modules (process)

Schleust folgende Dateien/Komponenten ein:

• For Windows 2000, Windows Server 2003, Windows XP
• %Program Files%\Common Files\DirectDB.exe - also detected as BKDR_DIOFOPI.A
• For Windows Vista / Windows 7
• %Application Data%\Common Files\DirectDB.exe - also detected as BKDR_DIOFOPI.A
• %User Temp%\shiape.exe - also detected as BKDR_DIOFOPI.A

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)