BKDR_IRCBOT.ER

Diese Malware hat keine Verbreitungsroutine.

Verbindet sich mit IRC-Servern (Internet Relay Chat). Wählt sich in einen IRC-Kanal ein. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\LolClient\Local Store\cache940.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %User Temp%\{random filename 1}.tmp ← deleted afterwards
• %User Temp%\{random filename 1}.0.cs ← source file script; deleted afterwards
• %User Temp%\{random filename 1}.cmdline ← command line script; deleted afterwards
• %User Temp%\{random filename 1}.out ← deleted afterwards
• %User Temp%\{random filename 1}.err ← deleted afterwards
• %User Temp%\{random 1}.tmp ← config file; deleted afterwards
• %User Temp%\{random 2}.tmp ← config file; deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\{random}.exe ← watchdog component

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\LolClient\Local Store

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• dgsdfgey435y5styhhaeth → main process
• dgsdfgey435y5styhhaethppp → watchdog component

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
LolCache940 = "%Application Data%\LolClient\Local Store\cache940.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
StartupApproved\Run
LolCache940 = "02 00 00 00 00 00 00 00 00 00 00 00"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Öffnet folgende Ports und wartet dort auf Remote-Befehle:

• TCP 6667

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• {BLOCKED}.{BLOCKED}.147.109

Wählt sich in einen oder mehrere der folgenden IRC-Kanäle ein:

• #faggot

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• auth → add sender
• jsbypass → Get and Clear Cookies
• http → Performs HTTP Flood
• condis → Performs rapid Connect\Disconnect Flood
• tcp → Performs TCP Flood
• udp → Performs UDPFlood
• stopdos → Stop All DDOS attack
• dlexec → Download and execute file
• update1 → Update itself
• uninstall → Remove Auto-Run Registry and copy of itself
• exit → Terminate itself

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %Application Data%\LolClient\Local Store\{random characters}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)