BKDR_REMCOS.TICOGBI

Installation

Schleust folgende Dateien/Komponenten ein:

• %Application Data%\Remc\logs.dat <- component file
• %User Temp%\install.vbs <- executes the dropped copy of the malware
• %User Temp%\~{random alphanumeric}.TMP <- component file

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Remc\Remc.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\Remc

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• ophjgkjfmv-8RQED1
• Remcos_Mutex_Inj
• Mutex_RemWatchdog

Beendet die Ausführung der zunächst ausgeführten Kopie und führt stattdessen die eingeschleuste Kopie aus.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\run
{random alphanumeric} = %Application Data%\Remc\Remc.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random alphanumeric} = "%Application Data%\Remc\Remc.exe"

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, "%Application Data%\Remc\Remc.exe"

(Note: The default value data of the said registry entry is %System%\userinit.exe.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe, "%Application Data%\Remc\Remc.exe"

(Note: The default value data of the said registry entry is explorer.exe.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\run

HKEY_CURRENT_USER\Software\{random string}-{random string}

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\{random string}-{random string}
EXEpath = {random hex values}

HKEY_CURRENT_USER\Software\{random string}-{random string}
WD = {random value}

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(Note: The default value data of the said registry entry is 1.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• System Type
• Product Name
• Primary Adapter
• User Access (Admin or Non-admin)
• User Profile
• User Name
• User Domain
• Processor Revision No.
• Processor Level
• Processor Identifier
• Processor Architecture
• System Type (32-bit or 64-bit)

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Perform ping
• Enumerate drives
• List all files
• Open file/s
• Get file/s from affected computer
• Upload file/s to affected computer
• Delete file/s from affected computer
• Rename file/s from affected computer
• Create new directory
• Search a file from affected computer
• Download file from url
• Download file from local
• Enumerate process
• Terminate process
• Maximize/Minimize application
• Switch application
• Terminate application
• Open cmd
• Open webpage
• Open screen capture
• Open keylogger
• Set affected computer to send logs automatically
• Deletes cookies and stored browser logins
• Get screenshot
• Capture image from camera if available
• Capture voice from mic if available
• Acquire user password
• Display a messagebox to affected computer
• Sends keyboard input
• Sends mouse click
• Shutdown affected Computer
• Copy clipboard data
• Set clipboard data
• Clear clipboard data
• Manipulate registry entries