Trojan.Win32.PANDASTEAL.THDABBA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• REG ADD HKEY_CURRENT_USER\Software\Classes\CLSID\{fIVyUCyCgmYerDKhxywzCYHpaydQNEHJFGMJlsvEUxVbJBYZdTsUZShIZHHQYTVJJZjgDNeeOnJQOdvxQbp00e52-a214-4aGfgWBQtvSqxOkOREyJyBKuXxCVZOBjjnsGfdicRWTGVQHmjYPtuuQkXOxZYqUvnYGCdbzhxPoRzVpxIvPgNZuuByZUC-8fba-4357bb0072ec} /f
• REG ADD HKEY_CURRENT_USER\Software\Classes\CLSID\{fIVyUCyCgmYerDKhxywzCYHpaydQNEHJFGMJlsvEUxVbJBYZdTsUZShIZHHQYTVJJZjgDNeeOnJQOdvxQbp00e52-a214-4aGfgWBQtvSqxOkOREyJyBKuXxCVZOBjjnsGfdicRWTGVQHmjYPtuuQkXOxZYqUvnYGCdbzhxPoRzVpxIvPgNZuuByZUC-8fba-4357bb0072ec}\InProcServer32 /ve /t REG_SZ /d C:\IDontExist.dll /f
• cMd.E"x"e 2ubishdata2/R = PowERsHELl -ExecutionPolicy Bypass -w 1 /e {command}
• PowERsHELl -ExecutionPolicy Bypass -w 1 /e {command}

Autostart-Technik

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\{malware filename}.exe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Temp%\DyEqOdpm.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}.{BLOCKED}.213.108/po/tai1.exe

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fIVyUCyCgmYerDKhxywzCYHpaydQNEHJFGMJlsvEUxVbJBYZdTsUZShIZHHQYTVJJZjgDNeeOnJQOdvxQbp00e52-a214-4aGfgWBQtvSqxOkOREyJyBKuXxCVZOBjjnsGfdicRWTGVQHmjYPtuuQkXOxZYqUvnYGCdbzhxPoRzVpxIvPgNZuuByZUC-8fba-4357bb0072ec}
InProcServer32 = "C:\IDontExist.dll"

Es macht Folgendes:

• It uses dsadd command using the following parameters to make changes in the active directory:
  • dsadd uanxmqderqqsqQhUgbsodWdmikeGaKOULMmamrYJdLDYhjbsKmBsrHcleMjhBWPsaxUwqXukSYAUKKjCGLrAHdEBTffQSsG
  • cn={username}{added user count starting at 1}
  • cn=uanxmqderqqsqQhUgbsodWdmikeGaKOULMmamrYJdLDYhjbsKmBsrHcleMjhBWPsaxUwqXukSYAUKKjCGLrAHdEBTffQSsGs
  • dc={DcName}
  • dc=com -pwd {password}