Analyse von: Kathleen Notario   
 

Trojan.Gen (Symantec); Trojan:Win32/Rimecud.A (Microsoft); Trojan.Win32.Inject.bfmc (Kaspersky); W32/Rimecud.gen.br (Mcafee); Mal/Palevo-A (Sophos)

 Plattform:

Windows 2000, Windows XP, Windows Server 2003

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Worm

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
    Nein

  • In the wild::
    Ja

  Überblick

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird.

  Technische Details

Dateigröße: 84,480 bytes
Dateityp: EXE
Speicherresiden: Ja
Erste Muster erhalten am: 14 Juli 2011

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %User Profile%\aegvvp.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

  • svchost.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = "%User Profile%\aegvvp.exe"

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

  • ultimate

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Die besagte .INF-Datei enthält die folgenden Zeichenfolgen:

[autorun]
USEAUTOPLAY=1
shellexcute=ultimate/window.exe
Shelldisc
shell\Explore\command=ultimate/window.exe
shell\Open\command=ultimate/window.exe
icon=ultimate/window.exe
open=ultimate/window.exe
action=0pen folder to view files using Windows Explorer

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

  • {BLOCKED}na.{BLOCKED}olands.su
  • {BLOCKED}ik.{BLOCKED}-protection.net.ru
  • {BLOCKED}tal.{BLOCKED}owerbord.com
  • {BLOCKED}de.{BLOCKED}usenumber.com
  • {BLOCKED}d.{BLOCKED}tudio.ru