TROJ64_KVNDM.SM

Löscht Registrierungseinträge, so dass einige Anwendungen und Programme nicht ordnungsgemäß ausgeführt werden.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Führt heruntergeladene Dateien aus, deren bösartige Routinen vom betroffenen System angezeigt werden. Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\win{random}.bat <-- Used to delete itself, deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• iexplore.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{random}

Injiziert Code in die folgenden Prozesse:

• created "iexplore.exe"

Andere Systemänderungen

Löscht die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
sunUpdate = "{Current Value}"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
sunUpdate = "{Current Value}"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://www.{BLOCKED}mabike.com/images/s.txt
• http://{BLOCKED}usai.com/ex-engine/themes/xe_sapphire/modules/message/images.php
• http://www.{BLOCKED}mabike.com/images/images.php

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\kvndm.tmp
• %User Temp%\tmp{random}.tmp <-- Decrypted copy of downloaded file if an executable binary

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Führt heruntergeladene Dateien aus, deren bösartige Routinen vom betroffenen System angezeigt werden.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.