TrojanSpy.Win32.AVEMARIA.E

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\ellocnak.xml
• %Application Data%{9 Random Characters}.exe -> detected as Trojan.Win32.MIMIKATZ.ADY
• %System%\dismcore.dll -> detected as Trojan.Win32.ANTIAV.AB

Schleust folgende nicht bösartige Datei ein:

• %User Temp%\nss3.dll
• %User Temp%\mozglue.dll
• %User Temp%\softokn3.dll
• %User Temp%\msvcp140.dll
• %User Temp%\vcruntime140.dll
• %User Temp%\freebl3.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• %System%\cmd.exe
• powershell add-MpPreference -executionPath C:\
• "%System%\dism.exe" /online /norestart /apply-unattend:"%User Temp%\ellocnak.xml" -> executed via DISM Dll hijacking vulnerability for UAC bypass

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

• %System%\cmd.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AllowMultipleTSSessions = 0

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server\Licensing Core
EnableConcurrentSessions = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server\AddIns\
Clip Redirector
Name = RDPCLip

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server\AddIns\
Clip Redirector
Type = 3

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}eys.{BLOCKED}dns.com
• {BLOCKED}.{BLOCKED}.123.196

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}.{BLOCKED}.225.104/dll/upnp.exe

Datendiebstahl

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.