BKDR_PLUGX.PZ

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Übertragungsdetails

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Installation

Fügt die folgenden Prozesse hinzu:

• %System%\svchost.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Erstellt die folgenden Ordner:

• {Current Malware Path}\fuck

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• gfdhmjkiu

Injiziert Code in die folgenden Prozesse:

• created svchost.exe

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot/Shutdown system
• Display a message box
• Perform port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Host Telnet server
• Connect to a database server and execute SQL statement

However, as of this writing, the said sites are inaccessible.

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• {Current Malware Path}\fuck\{random filename 1} <- ecnrypted data
• {Current Malware Path}\fuck\{random filename 2} <- ecnrypted data

Andere Details

Für ihre ordnungsgemäße Ausführung sind die folgenden Dateien erforderlich:

• {Current Malware Path}\takeown.exe <- non-malicious, loads the dll component
• {Current Malware Path}\takeown.data <- malicious encrypted configuration, also detected as BKDR_PLUGX.PZ
• {Current Malware Path}\VsEvntUI.DLL <- required by takeown.exe to properly run