BKDR_QAKBOT.DZ

Wird über P2P-Freigabelaufwerke (Peer-to-Peer) übertragen.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Versendet die gesammelten Daten an externe Websites.

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die bestimmte Zeichenfolgen enthalten.

Übertragungsdetails

Wird über P2P-Freigabelaufwerke (Peer-to-Peer) übertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\Application Data\Microsoft\{random}\{random}.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht bösartige Datei ein:

• %User Profile%\Application Data\Microsoft\{random}\{random}.dll

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Profile%\Application Data\Microsoft\{random}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {malware name}a
• nekxhv

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• explorer.exe
• iexplore.exe

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}ysgtap.co.in
• {BLOCKED}istr.in
• {BLOCKED}vtkn.in.ua
• {BLOCKED}son.in
• {BLOCKED}uytdk.info
• {BLOCKED}mentis.org

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• msdev.exe
• dbgview.exe
• mirc.exe
• ollydbg.exe
• ctfmon.exe

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• /achupload
• /cmserver/
• /corpach/
• /ibws/
• /payments/ach
• /stbcorp/
• /wcmpr/
• /wcmpw/
• /wcmtr/
• /wiret
• achbatchlisting
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com
• businessonline.tdbank.com
• cbs.firstcitizensonline.com
• chsec.wellsfargo.com
• commercial.wachovia.com
• commercial2.wachovia.com
• commercial3.wachovia.com
• commercial4.wachovia.com
• cpw-achweb.bankofamerica.com
• goldleafach.com
• iachwellsprod.wellsfargo.com
• ns.com
• scotiaconnect.scotiabank.com
• tcfexpressbusiness.com
• trz.tranzact.org
• ub-businessonline.blilk.com
• wc.wachovia.com
• wcp.wachovia.com
• webexpress.tdbank.com
• wellsoffice.wellsfargo.com

Versendet die gesammelten Daten an externe Websites.

Andere Details

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die folgende Zeichenfolgen enthalten:

• explabs.
• sanasecurity
• phishtank.com
• hautesecure.com
• truste.com
• clearclouddns
• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• threatfire
• trendmicro
• virus
• wilderssecurity
• windowsupdate
• update.microsoft.
• download.microsoft.