Backdoor.Win32.REMCOS.UNGB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %AppDataLocal%\Lsz
• %Application Data%\oreo

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %AppDataLocal%\Lsz\Lsz
• %AppDataLocal%\Lsz\Lsznxy.exe
• %AppDataLocal%\Lsz\Lszsex.vbs {executes Lsznxy.exe}
• %Application Data%\oreo\logs.dat
• %System Root%\Users\{user name}\Contacts\Nex
• %User Temp%\Lsz
• %User Temp%\Lszeql.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\Jndrs.js {executes Lszeql.exe} - deleted after execution

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Remcos_Mutex_Inj

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Lsz = %AppDataLocal%\Lsz\Lszsex.vbs

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\{random}
EXEpath = {hex values}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Acquire user passwords and login data
• Activate keylogger
• Capture audio
• Capture image
• Capture screen
• Check upload progress
• Clear clipboard data
• Clear cookies and stored browser logins
• Copy clipboard data
• Create new directory
• Delete file/s
• Delete keylogs
• Display messagebox
• Download file from local
• Download file from URL
• Enumerate process
• Execute command/s
• List all drives
• List all files
• Manipulate a window
• Manipulate registry entries
• Open webpage
• Perform ping
• Rename file/s
• Run the Command Prompt (CMD)
• Search file/s
• Send keyboard input
• Send mouse click
• Set clipboard data
• Terminate process
• Uninstall itself
• Update itself
• Upload file/s