Virus.Win32.EXPIRO.JMA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\{Random Hex Values}.bin

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\Multiarch.m0yv-{Random Hex Values}-b
• Global\Multiarch.m0yv-{Random Hex Values}-inf

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .EXE

Vermeidet es, Dateien zu infizieren, deren Name diese Zeichenfolgen enthält:

• windefend
• UIODetect
• svchost
• TrustedInstaller
• ntsvcs

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Computer Name
• OS Information
• System and User Default Language
• Processor Architecture

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}tj.biz
• {BLOCKED}.{BLOCKED}.106.25
• {BLOCKED}.{BLOCKED}.126.10
• {BLOCKED}.{BLOCKED}.235.76
• {BLOCKED}.{BLOCKED}.218.86
• {BLOCKED}.{BLOCKED}.161.12
• {BLOCKED}.{BLOCKED}.228.140
• {BLOCKED}.{BLOCKED}.74.76
• {BLOCKED}.{BLOCKED}.98.146
• {BLOCKED}.{BLOCKED}.13.20
• {BLOCKED}.{BLOCKED}.35.88
• {BLOCKED}.{BLOCKED}.13.61
• {BLOCKED}.{BLOCKED}.184.122
• {BLOCKED}.{BLOCKED}.184.124
• {BLOCKED}.{BLOCKED}.189.15
• {BLOCKED}.{BLOCKED}.203.211
• {BLOCKED}.{BLOCKED}.203.226
• {BLOCKED}.{BLOCKED}.76.77
• {BLOCKED}.{BLOCKED}.76.81
• {BLOCKED}.{BLOCKED}.152.37
• {BLOCKED}.{BLOCKED}.152.58

Es macht Folgendes:

• It targets executable files that are associated with the system's services and infects them.
• It starts the infected services to ensure persistence.
• It appends its malicious codes at the end of the targeted files.
• It displays the following message box to deceive the user into thinking that it has executed a legitimate Adobe AIR installer: