Analysé par: Ardin Christopher Maglalang   
 

Worm/Autoit.ABJA(AVG), Trojan.Win32.Autoit.wt(kaspersky), Worm:Win32/Helompy.A(Microsoft), Win32/Autoit.FL(ESET), W32.Harakit(Norton)

 Plate-forme:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Worm

  • Destructif:
    Non

  • Chiffrement:
     

  • In the wild::
    Oui

  Overview

Schleust Kopien von sich selbst in Wechsellaufwerke ein. Diese eingeschleusten Kopien verwenden als Dateinamen die Namen der Ordner auf den betroffenen Laufwerken.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

  Détails techniques

File size: 551,669 bytes
File type: EXE
Date de réception des premiers échantillons: 28 janvier 2014

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

  • C:\Win\lsass.exe
  • If drive C is not a fixed drive or inaccessible drop in the following.
  • D:\programs\lsass.exe

Schleust die folgenden Dateien ein:

  • C:\Win\names.txt - contains the filename of the file to download.

Erstellt die folgenden Ordner:

  • C:\Win
  • If C is not a fixed drive or not accessible create the following folder.
  • D:\programs

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
run32 = "{Malware Path and Filename}"

Verbreitung

Schleust Kopien von sich selbst in Wechsellaufwerke ein. Diese eingeschleusten Kopien verwenden als Dateinamen die Namen der Ordner auf den betroffenen Laufwerken.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

  • http://peradjoka.{BLOCKED}5.com/{User name}/{File name}.rar
  • http://peradjoka.{BLOCKED}5.com/{Computer name}/{File name}.rar

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

  • http://peradjoka.{BLOCKED}5.com/cmd.php?command={Stolen Information}