Worm.WSF.DUNIHI.PAT

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Schleust Eigenkopien in alle an ein betroffenes System angeschlossene Wechsellaufwerke ein.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\{Malware Name}.wsf

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Temp%\ebgeaegdbdecaedfebace.reg

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• regedit.exe %User Temp%\ebgeaegdbdecaedfebace.reg

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
(Default) = {true or false} - {Date of Infection}

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(Note: The default value data of the said registry entry is 3.)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(Note: The default value data of the said registry entry is 0.)

Verbreitung

Schleust Eigenkopien in alle an ein betroffenes System angeschlossene Wechsellaufwerke ein.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• disconnect - Terminate malware process
• reboot - Reboot the machine
• shutdown - Shutdown the machine
• execute - Execute command sent by C&C
• install-sdk - Install tool used for stealing passwords from web browsers
• get-pass - Steal passwords from a specific web browser
• get-pass-offline - Steal passwords from pre-determined web browsers
• update - Update the malware script
• uninstall - Uninstall the malware from the machine
• up-n-exec - Download and execute a file from a pre-determined URL
• bring-log - Upload WSH logs
• down-n-exec - Download and execute a file from the given URL
• filemanager - Download and execute fm-plugin.exe
• rdp - Download and execute rd-plugin.exe used for keylogging
• rev-proxy - Drop and execute rprox.exe used for reverse proxy
• exit-proxy - Terminate rprox.exe
• exit-hrdp - Terminate hrdp.exe
• keylogger - Drop and execute kl-plugin.exe used for keylogging
• offline-keylogger - Drop and execute kl-plugin.exe used for keylogging
• browse-logs - Upload list of logs
• cmd-shell - Execute sent shell command
• get-processes - Sends list of running processes
• disable-uac - Disable security
• check-eligible - Check if a file exists
• rev-rdp - Download and execute rdp
• force-eligible - Check if a file exists then execute it
• elevate - Elevate malware administrative rights
• if-elevate - Check if malware has administrative rights
• kill-process - Terminate a specific process
• sleep - The malware sleeps for a given amount of time
• update - Update the malware script

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• User Name
• Operating System
• AV Products
• Machine's Country
• Disk Volume Serial Number
• User Credentials

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.