Analysé par: Nikko Tamana   

 

Worm.JS.Bondat.Y (Bitdefender), Worm.JS.Bondat (Ikarus), Worm:JS/Bondat.D (Microsoft), JS/Bondat.AN worm (NOD32)

 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Worm

  • Destructif:
    Non

  • Chiffrement:
     

  • In the wild::
    Oui

  Overview

Ändert Registrierungseinträge, um System- und schreibgeschützte Dateien zu verbergen.

Ändert Zoneneinstellungen von Internet Explorer.

  Détails techniques

File size: 98,304 bytes
File type: JS
Date de réception des premiers échantillons: 14 septembre 2017

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %Application Data%\{random folder name}\{random file name 1}.js

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

  • %Application Data%\{random folder name}\{random file name 3}
  • %Application Data%\{random folder name}\{random file name 4}
  • %Application Data%\{random folder name}\{random file name 5}
  • %Application Data%\{random folder name}\{random file name 6}
  • %Application Data%\{random folder name}\{random file name 7}
  • {Removable Drive Letter}:\Drive.bat

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

  • %Application Data%\{random folder name}\{random file name 2}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

  • %User Startup%\Start.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

  • %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk

Schleust die folgenden Dateien in den allgemeinen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk

Andere Systemänderungen

Ändert die folgenden Registrierungseinträge, um System- und schreibgeschützte Dateien zu verbergen:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Ändert die folgenden Registrierungseinträge, um Dateien mit dem Attribut 'Versteckt' zu verbergen:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(Note: The default value data of the said registry entry is 1.)

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

  • {Removable Drive Letter}:\Drive
  • {Removable Drive Letter}:\Drive\{random numbers}

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

  • {Removable Drive Letter}:\Drive\{random numbers}\{random file name 8}.js

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.