Analyse von: Roland Marco Dela Paz   
 Plattform:

Windows 2000, Windows XP, Windows Server 2003

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    File infector

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
     

  • In the wild::
    Ja

  Überblick

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

  Technische Details

Dateigröße: Variiert
Dateityp: PE
Erste Muster erhalten am: 17 November 2009

Installation

Injiziert Code in die folgenden Prozesse:

  • WINLOGON.EXE

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
\??\%System%\winlogon.exe = \??\%System%\winlogon.exe:*:enabled:@shell32.dll,-1

Dateiinfektion

Infiziert die folgenden Dateitypen:

  • .EXE
  • .SCR

Vermeidet es, Dateien zu infizieren, deren Name diese Zeichenfolgen enthält:

  • OTSP
  • WC32
  • WCUN
  • WINC

Vermeidet es, die folgenden Dateien zu infizieren:

  • .DLL files
  • PE Files with "_win" section name
  • Files with infection marker

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

  • {BLOCKED}u.{BLOCKED}s.pl