BKDR_ZBAL.B

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Installation

Schleust folgende Dateien/Komponenten ein:

• %Application Data%\{GUID}\{random 1}.dat
• %Application Data%\{GUID}\{random 2}.dat
• %Application Data%\{GUID}\{random 3}.dat
• %Application Data%\{GUID}\{random 4}.dat
• %Application Data%\{GUID}\{random 5}.dat

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{GUID}\{random}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• svchost.exe

Erstellt die folgenden Ordner:

• %Application Data%\{GUID}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• Added svchost.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{GUID}\{random}.exe"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Enumerate Process
• Create\Terminate Process
• Download and execute\load arbitrary files
• Create\Delete Directory
• Update Itself
• Unintall itself
• Update Config
• Block and Unblock URL
• Grab FTP, Cookies, Certificates,POP
• Upload Information
• Perform Remote Control
• Add, Delete, or Edit Registry
• Create, Open, or Edit File
• Execute file

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://{BLOCKED}id.com/adminta/forum.php
• http://{BLOCKED}ox.com/adminta/forum.php
• http://{BLOCKED}odfm.com/adminta/forum.php
• http://{BLOCKED}m.com/adminta/forum.php

Datendiebstahl

Folgende Daten werden gesammelt:

• Disk Serial Number
• Host's Name
• Default Language