Analysé par: Vincent Martin Hermosura   
 

Trojan.Win32.Buzus.uigo (Kaspersky), Trojan-Spy.Agent (Ikarus), a variant of Win32/Injector.BLMU trojan (Esset)

 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Spyware

  • Destructif:
    Non

  • Chiffrement:
    Oui

  • In the wild::
    Oui

  Overview


  Détails techniques

File size: 224,503 bytes
File type: EXE
Memory resident: Oui
Date de réception des premiers échantillons: 08 septembre 2014

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

  • %Application Data%\{random characters 1}\{random characters 2}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %AppDataLocal%\Identities
  • %Application Data%\Microsoft\Address Book
  • %Application Data%\{random characters 1}
  • %Application Data%\{random characters 4}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random characters 1}\{random characters 2}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "dword:00000000"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
@ = "%Application Data%\Microsoft\Address Book\{user name}.wab"

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Identities
Identity Ordinal = "dword:00000002"

(Note: The default value data of the said registry entry is dword:00000001.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
1609 = "dword:00000000"

(Note: The default value data of the said registry entry is dword:00000001.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1406 = "dword:00000000"

(Note: The default value data of the said registry entry is dword:00000001.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
"dword:00000000" = dword:00000001

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
1609 = "dword:00000000"

(Note: The default value data of the said registry entry is dword:00000001.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1406 = "dword:00000000"

(Note: The default value data of the said registry entry is dword:00000003.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1609 = dword:00000000

(Note: The default value data of the said registry entry is dword:00000001.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1406 = "dword:00000000"

(Note: The default value data of the said registry entry is dword:00000003.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1609 = dword:00000000

(Note: The default value data of the said registry entry is dword:00000001.)

Andere Details

Schleust folgende Dateien/Komponenten ein:

  • %Application Data%\Microsoft\Address Book\{user name}.wab
  • %Application Data%\Microsoft\Address Book\{user name}.wab~
  • %User Temp%\{random characters 3}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)