BKDR_POISON.AB

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. However, as of this writing, the said sites are inaccessible.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\Application Data\LMKPlayer.exe (for accounts without Admin Rights)
• %System%:LMKPlayer.exe (for accounts with Admin Rights)
• %User Profile%\AppData\Roaming:LMKPlayer.exe (for Windows Vista/Windows 7 only)

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• 2j8sji2q9

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%User Profile%\Application Data\LMKPlayer.exe" (for accounts without Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%System%:LMKPlayer.exe" (for accounts with Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%User Profile%\AppData\Roaming:LMKPlayer.exe" (for Windows Vista/Windows 7 only)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Send system information (Lan IP, Wan IP, Computer name, Username, Account Type, OS)
• Send hardware information (CPU speed, Memory)
• Manage Files (Search, Download, Upload, Execute, Rename, Delete)
• Manage Registries (Search, Modify, Delete, Rename, Create)
• Manage Processes (View, Kill, Suspend, Unload Module)
• Manage Services (View, Start, Stop, Edit, Install, Uninstall)
• Manage Devices (View, Enable, Disable, Remove)
• Manage Windows
• Relay server
• View,copy and uninstall applications
• View active ports
• Perform a shell command
• Download and inject remote codes to legitimate processes
• Log keystrokes and active window
• Capture screenshots
• View webcam activity
• Listen to microphone audio
• Update, Uninstall, Restart the malware
• Retrieve cached passwords and hashes

However, as of this writing, the said sites are inaccessible.

Andere Details

Löscht sich nach der Ausführung selbst.