TROJ_RECSLURP.NM

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %System%\csrss.exe
• %System%\rundll32.exe
• %System%\svchost.exe
  or
  
• %Application Data%\csrss.exe
• %Application Data%\rundll32.exe
• %Application Data%\svchost.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{GUID}
• Local\{GUID}

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\csrss.exe" or "%System%\csrss.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\rundll32.exe" or "%System%\rundll32.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\svchost.exe" or "%System%\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows = "{Malware's path}\{malware filename}.exe" ← if it fails to drop any copies

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Software\Microsoft\Shared Police
MachineParamCPUU = "{hex data}"

HKEY_CURRENT_USER\Software\Microsoft\
Software\Microsoft\Shared Police
MachineParam = "{hex data}"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.234.251
• {BLOCKED}.{BLOCKED}.146.217
• {BLOCKED}.{BLOCKED}.89.154
• {BLOCKED}.{BLOCKED}.176.101
• {BLOCKED}.{BLOCKED}.242.108
• {BLOCKED}.{BLOCKED}.192.179
• {BLOCKED}.{BLOCKED}.87.47
• {BLOCKED}.{BLOCKED}.109.163
• {BLOCKED}.{BLOCKED}.244.234
• {BLOCKED}.{BLOCKED}.32.221
• {BLOCKED}.{BLOCKED}.46.52
• {BLOCKED}.{BLOCKED}.143.253
• {BLOCKED}.{BLOCKED}.187.95
• {BLOCKED}.{BLOCKED}.154.79
• {BLOCKED}.{BLOCKED}.88.20
• {BLOCKED}.{BLOCKED}.57.89
• {BLOCKED}.{BLOCKED}.128.82
• {BLOCKED}.{BLOCKED}.254.44
• {BLOCKED}.{BLOCKED}.52.10
• {BLOCKED}.{BLOCKED}.56.106
• {BLOCKED}.{BLOCKED}.56.107
• {BLOCKED}.{BLOCKED}.56.121
• {BLOCKED}.{BLOCKED}.56.84
• {BLOCKED}.{BLOCKED}.56.85
• {BLOCKED}.{BLOCKED}.196.151
• {BLOCKED}.{BLOCKED}.26.128
• {BLOCKED}.{BLOCKED}.156.17
• {BLOCKED}.{BLOCKED}.208.64
• {BLOCKED}.{BLOCKED}.145.90
• {BLOCKED}.{BLOCKED}.234.251
• {BLOCKED}.{BLOCKED}.134.71
• {BLOCKED}.{BLOCKED}.104.51
• {BLOCKED}.{BLOCKED}.154.10
• {BLOCKED}.{BLOCKED}.26.16
• {BLOCKED}.{BLOCKED}.218.87
• {BLOCKED}.{BLOCKED}.223.58
• {BLOCKED}.{BLOCKED}.222.149
• {BLOCKED}.{BLOCKED}.98.84
• {BLOCKED}.{BLOCKED}.228.174
• {BLOCKED}.{BLOCKED}.200.29
• {BLOCKED}.{BLOCKED}.191.74
• {BLOCKED}.{BLOCKED}.147.169
• {BLOCKED}.{BLOCKED}.0.140
• {BLOCKED}.{BLOCKED}.15.41
• {BLOCKED}.{BLOCKED}.138.132
• {BLOCKED}.{BLOCKED}.130.70
• {BLOCKED}.{BLOCKED}.132.6
• {BLOCKED}.{BLOCKED}.78.252
• {BLOCKED}.{BLOCKED}.103.16
• {BLOCKED}.{BLOCKED}.234.149
• {BLOCKED}.{BLOCKED}.233.10
• {BLOCKED}.{BLOCKED}.167.132
• {BLOCKED}.{BLOCKED}.24.102
• {BLOCKED}.{BLOCKED}.33.20
• {BLOCKED}.{BLOCKED}.37.97
• {BLOCKED}.{BLOCKED}.58.166
• {BLOCKED}.{BLOCKED}.26.179
• {BLOCKED}.{BLOCKED}.229.141
• {BLOCKED}.{BLOCKED}.78.140
• {BLOCKED}.{BLOCKED}.219.110
• {BLOCKED}.{BLOCKED}.10.131
• {BLOCKED}.{BLOCKED}.250.1
• {BLOCKED}.{BLOCKED}.226.142
• {BLOCKED}.{BLOCKED}.33.58
• {BLOCKED}.{BLOCKED}.29.125