BKDR_SHOTODOR.VH

Fügt bestimmte Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren. Dies verhindert, dass Benutzer den Malware-Prozess beenden, was normalerweise über den Task-Manager möglich ist.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Schleust die folgenden Dateien ein:

• %User Profile%\{random folder name 1}\wdsrvqxx
• %User Profile%\{random folder name 1}\uzklce.TNQ
• %User Profile%\{random folder name 1}\swqtcntxrk.XIM
• %Application Data%\pid.txt
• %Application Data%\pidloc.txt
• %User Temp%\screens\screenshot{number}.jpeg

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Profile%\{random folder name 1}\hotlss.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Profile%\{random folder name 1}
• %User Temp%\screens

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Bleibt speicherresident, indem Code in folgende Prozesse injiziert wird:

• RegSvcs.exe (v2.0.50727)
• RegAsm.exe (v2.0.50727)
• AppLaunch.exe (v2.0.50727)
• RegSvcs.exe (v4.0.30319)
• RegAsm.exe (v4.0.30319)
• AppLaunch.exe (v4.0.30319)
• twunk_32.exe
• newdev.exe
• ndadmin.exe

Autostart-Technik

Schleust die folgenden Dateien ein:

• %User Profile%\{random folder name 1}\ftprvuzx.cmd - batch file to execute the malware script
• %User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs - vbscript file to execute the dropped batch file
• %User Profile%\{random folder name 1}\run.vbs

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce
%User Profile%\{random folder name 1} = "%User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs"

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %Start Menu%\start.lnk

(Hinweis: %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)

Andere Systemänderungen

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE64\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(Note: The default value data of the said registry entry is 1.)

Fügt die folgenden Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren:

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

(Note: The default value data of the said registry entry is 0.)

Ändert die folgenden Registrierungseinträge, um Dateien mit dem Attribut 'Versteckt' zu verbergen:

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Delete all registry entries in:
  • HKCU64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • HKLM64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• Log Keystrokes
• Download File
• Open Process
• Manipulate the following to send messages:
  • Skype
  • Facebook
  • Steam
  • Omegle
  • RuneScape

Datendiebstahl

Folgende Daten werden gesammelt:

• malware process id
• malware path
• hostname
• Screenshots
• Keyboard Strokes
• Clipboard Data
• System Time
• Internal Language
• Operating System
• Internal IP
• External IP
• AntiVirus Installed
• Firewall Installed
• Current Active Window

Entwendete Daten

Sendet die gesammelten Daten über SMTP an die folgenden E-Mail-Adressen:

• {BLOCKED}orlogzzz@{BLOCKED}il.com