JAVA_ADWIND.PDB

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Installation

Fügt die folgenden Ordner hinzu:

• %User Profile%\mtPdopVboWp
• %User Temp%\hsperfdata_{username}
• %Application Data%\Oracle
• %User Profile%\mtPdopVboWp
• %User Profile%\fUTkALeaTxM

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %User Temp%\hsperfdata_{username\{process ID} - contains details on the malware
• %User Profile%\mtPdopVboWp\ID.txt - contains UUID
• %User Temp%\Retrive{random}.vbs - script detecting installed AV and Firewall products
• %User Profile%\fUTkALeaTxM\ID.txt - contains UUID
• %All Users Profile%\Oracle\Java\.oracle_jre_usage\{random}.timestamp - time usage of oracle
• %System%\test.txt - used to check for admin rights

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\_0.{random numbers}.class - detected as JAVA_ADWIND.WIL

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\mtPdopVboWp\hqmOvFofxxM.fKcMMs

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• attrib +h "%User Profile%\mtPdopVboWp" - hide folder
• attrib +h "%User Profile%\mtPdopVboWp\*.*" - sets the contents of the folder as hidden
• xcopy "%Program Files%\Java\jre{version}" "%Application Data%\Oracle\" /e - copy Java installation folder to %Application Data%\Oracle

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
guLztiuEKvg = "%Application Data%\Oracle\bin\javaw.exe" -jar "%User Profile%\mtPdopVboWp\hqmOvFofxxM.fKcMMs"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download Plug-ins
• Download and Execute Files
• Update itself
• Uninstall itself
• Reset Connection
• Terminate Process
• Screen Capture
• Access Webcam
• Log Keystrokes

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}.{BLOCKED}.241.40:9000

Datendiebstahl

Folgende Daten werden gesammelt:

• Local IP
• Mac Address
• Size of RAM
• Country
• User Name
• OS Name
• OS Version
• If User is Admin
• Java Version