BKDR_SIMDA.PD

However, as of this writing, the said sites are inaccessible.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\Mozilla\Firefox\Profiles\{user profile}\searchplugins\search.xml
• %Application Data%\{random name}.reg
• %Application Data%\mcp.ico
• %Desktop%\Computer.lnk
• %User Temp%\{random name}.sys - encrypted

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\ScanDisc.exe
• %Application Data%\{random name}.exe
• %User Temp%\{random number}.tmp

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "%Application Data%\{random name}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

Backdoor-Routine

However, as of this writing, the said sites are inaccessible.

Download-Routine

Lädt eine aktualisierte Kopie von sich selbst von folgenden Websites herunter:

• http://{BLOCKED}1.randomstring.com/?abbr=RTK&setupType=update&uid={random number}&ttl={random string}&controller=microinstaller&pid=3
• http://{BLOCKED}1.randomstring.com/update_c1eec.exe
• http://{BLOCKED}1.{BLOCKED}main.com/?abbr=RTK&action=download&setupType=umx&setupFileName=process_64.exe
• http://{BLOCKED}1.randomstring.com/?controller=hash

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{random number}.exe
• %System Root%\text.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Änderung der HOSTS-Datei

Ändert die HOSTS-Dateien des betroffenen Systems, damit Benutzer umgeleitet werden, wenn sie auf folgende Website zugreifen:

• www.google-analytics.com
• ad-emea.doubleclick.net
• www.statcounter.com

Datendiebstahl

Folgende Daten werden gesammelt:

• Volume Information
• Language Information
• Computer Name
• Network Adapter
• SusClientId
• Product Id
• Windows Install Date