BKDR_XTRAT.LTY

Entwendet Systemdaten. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Installation

Schleust folgende nicht bösartigen Dateien ein:

• %Application Data%\Microsoft\Windows\{Random File Name}.cfg
• %Application Data%\Microsoft\Windows\{Random File Name}.xtr
• %Application Data%\plugin.dat
• %Application Data%\2.ico
• %Current Folder%\plugin.dat
• %User Temp%\winxp7
• %User Temp%\winxp8
• %Application Data%\Rood.3gp
• %Application Data%\GDIPFONTCACHEV1.DAT
• %User Temp%\2.ico
• %User Temp%\.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\IDF.exe
• %Application Data%\Microsoft Word Update.exe
• %Application Data%\tempp.exe
• %Application Data%\winrar.exe
• %Application Data%\smss.exe
• %User Temp%\Microsoft Word.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• brSTgHafH

Injiziert Threads in die folgenden normalen Prozesse:

• %System%\sethc.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

•         .lnk

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\WinRAR SFX
{Malware Path} = {Malware Path}

HKEY_CURRENT_USER\Software\XtremeRAT
Mutex = {Random Values}

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_CLASSES_ROOT\qv1668809101y.oac

HKEY_CURRENT_USER\Software\IDF 23-9

HKEY_CLASSES_ROOT\he1779463363a.pqb

HKEY_CURRENT_USER\Software\yjudhfvjndghjghj

HKEY_CLASSES_ROOT\rz1263048663h.byi

HKEY_CURRENT_USER\Software\brSTgHafH

HKEY_CLASSES_ROOT\ep1839519877p.otz

HKEY_CURRENT_USER\Software\remote

HKEY_CLASSES_ROOT\pe1771047725g.bgt

Backdoor-Routine

Öffnet folgende Ports und wartet dort auf Remote-Befehle:

• TCP port 50001
• TCP port 12001

Datendiebstahl

Entwendet Systemdaten.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Entwendete Daten

Speichert die entwendeten Informationen in der folgenden Datei:

• %Application Data%\logs.dat
• %Application Data%\winxplog.dat
• %Current Folder%\logs.dat
• %Application Data%\Microsoft\Windows\{Random File Name}.dat

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)