BKDR_SATHUR.A

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Installation

Schleust folgende Komponentendateien ein:

• {Malware Path}\SecurityHelper.dll {detected as BKDR_SATHUR.A}

Fügt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgeführt werden:

• explorer.exe
• rundll32.exe
• regsvr32.exe

Erstellt die folgenden Ordner:

• {Malware Path}\temp
• {Malware Path}\SecurityCache\
• {Malware Path}\SecurityCache\cache
• {Malware Path}\SecurityCache\data

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{982C49E7-2232-4B26-B379-309AFAB28096}

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}\InprocServer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\0PerformanceMonitor

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}
(Default) = "Windows Performance Monitor"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}\InprocServer32
(Default) = "%All Users Profile%\Application Data\Application Data\Microsoft\Performance\Monitor\PerformanceMonitor.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\0PerformanceMonitor
(Default) = "{3B5B973C-92A4-4855-9D3F-0F3D23332208}"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Get system information
• Update the copy of the trojan
• Run arbitrary files

Andere Details

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.