BKDR_REDLEAVES.LCLF

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Fügt die folgenden Prozesse hinzu:

• svchost.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• E67568Sj

Injiziert Code in die folgenden Prozesse:

• created svchost.exe

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute commands using command prompt
• Send the following system information:
  • System name
  • System architecture
  • Operating system minor and major version
  • Memory
  • CPU information
  • Language
  • Privlige of the current process
  • Group permissions
  • System uptime
  • IP address
• Upload/Download files
• Update itself
• List drives, files and folders
• Delete files
• Create/Read/Write to a *.tmp file
• Execute files
• Terminate processes

Andere Details

Für ihre ordnungsgemäße Ausführung sind die folgenden Dateien erforderlich:

• VMwareHostOpen.exe → Non-malicious, executable that calls the malicious export located within the malware.
• hgfs.dll → Non-malicious, needed by VMwareHostOpen.exe to properly run.
• VMware.S82D → encrypted shellcode used by the malware.