WORM_QAKBOT.SMUX

Voie d'infection: Verbreitet sich über Netzwerkfreigaben, Fallen gelassen von anderer Malware, Aus dem Internet heruntergeladen

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Ändert Zoneneinstellungen von Internet Explorer.

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die bestimmte Zeichenfolgen enthalten.

File size: Varie

File type: EXE

Memory resident: Oui

Date de réception des premiers échantillons: 05 février 2016

Charge malveillante: Connects to URLs/IPs, Steals information

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

%Application Data%\Microsoft\{random folder name}\{random file name}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende Komponentendateien ein:

%Application Data%\Microsoft\{random folder}\{random file name}.dll - encrypted component
%Application Data%\Microsoft\{random folder}\{random file name}32.dll - encrypted configuration file
%Application Data%\Microsoft\{random file name}.wpl - Javascript component detected as JS_QAKBOT.SM1
%Windows%\Tasks\{GUID 2}.job (for Windows XP and below) - executes the Javascript component
%System%\Tasks\{GUID 2} (for Windows Vista and above) - executes the Javascript component
%Windows%\Tasks\{GUID 1}.job (for Windows XP and below) - executes the dropped copy
%System%\Tasks\{GUID 1} (for Windows Vista and above) - executes the dropped copy

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Erstellt die folgenden Ordner:

%Application Data%\Microsoft\{random folder}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

explorer.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random key}
ImagePath = "%Application Data%\Microsoft\{random folder}\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random key}
DisplayName = "Remote Procedure Call (RPC) Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%Application Data%\{random folder name}\{random filename}.exe"

Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

{random filename}.lnk

Verbreitung

Schleust Eigenkopien in die folgenden Laufwerke ein:

ADMIN$
C$

Verwendet den folgenden Dateinamen und das folgende Kennwort, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen:

123
password
Password
letmein
1234
12345
123456
1234567
12345678
123456789
1234567890
qwerty
love
iloveyou
princess
pussy
master
monkey
abc123
99999999
9999999
999999
99999
9999
999
99
9
88888888
8888888
888888
88888
8888
888
88
8
77777777
7777777
777777
77777
7777
777
77
7
66666666
6666666
666666
66666
6666
666
66
6
55555555
5555555
555555
55555
5555
555
55
5
44444444
4444444
444444
44444
4444
444
44
4
33333333
3333333
333333
33333
3333
333
33
3
22222222
2222222
222222
22222
2222
222
22
2
11111111
1111111
111111
11111
1111
111
11
1
00000000
0000000
00000
0000
000
00
0987654321
987654321
87654321
7654321
654321
54321
4321
321
21
12
super
secret
server
computer
owner
backup
database
lotus
oracle
business
manager
temporary
ihavenopass
nothing
nopassword
nopass
Internet
internet
example
sample
love123
boss123
work123
home123
mypc123
temp123
test123
qwe123
pw123
root123
pass123
pass12
pass1
admin123
admin12
admin1
password123
password12
password1
default
foobar
foofoo
temptemp
temp
testtest
test
rootroot
root
fuck
zzzzz
zzzz
zzz
xxxxx
xxxx
xxx
qqqqq
qqqq
qqq
aaaaa
aaaa
aaa
sql
file
web
foo
job
home
work
intranet
controller
killer
games
private
market
coffee
cookie
forever
freedom
student
account
academia
files
windows
monitor
unknown
anything
letitbe
domain
access
money
campus
explorer
exchange
customer
cluster
nobody
codeword
codename
changeme
desktop
security
secure
public
system
shadow
office
supervisor
superuser
share
adminadmin
mypassword
mypass
pass
Login
login
passwd
zxcvbn
zxcvb
zxccxz
zxcxz
qazwsxedc
qazwsx
q1w2e3
qweasdzxc
asdfgh
asdzxc
asddsa
asdsa
qweasd
qweewq
qwewq
nimda
administrator
Admin
admin
a1b2c3
1q2w3e
1234qwer
1234abcd
123asd
123qwe
123abc
123321
12321
123123
James
John
Robert
Michael
William
David
Richard
Charles
Joseph
Thomas
Christopher
Daniel
Paul
Mark
Donald
George
Kenneth
Steven
Edward
Brian
Ronald
Anthony
Kevin
Mary
Patricia
Linda
Barbara
Elizabeth
Jennifer
Maria
Susan
Margaret
Dorothy
Lisa
Nancy
Karen
Betty
Helen
Sandra
Donna
Carol
james
john
robert
michael
william
david
richard
charles
joseph
thomas
christopher
daniel
paul
mark
donald
george
kenneth
steven
edward
brian
ronald
anthony
kevin
mary
patricia
linda
barbara
elizabeth
jennifer
maria
susan
margaret
dorothy
lisa
nancy
karen
betty
helen
sandra
donna
carol
baseball
dragon
football
mustang
superman
696969
batman
trustno1

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

Download and execute component files
Download configuration and updates
Download updated copy of itself
Uninstall itself
Kill processes
Upload files containing stolen information
Perform FTP functionalities

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

http://xepqmqyotmchidz.info
http://merqldlbgpybywie.com
http://mtfaxqlorg.com
http://ogbovdlqptrbwisevvzh.biz
http://azcmbdagdfzcjzwmv.org
http://gidqkwagicevwiclwatmmlso.biz
http://{all domains above}/Ql9MKhSlCyQRnkHASGAttd.php

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

msdev.exe
dbgview.exe
ollydbg.exe
ctfmon.exe
Proxifier.exe

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Datendiebstahl

Folgende Daten werden gesammelt:

GeoIP locations
Browser cookies
Flash cookies
System information
- IP Address
- DNS Name
- Hostname
- User Name
- Domain
- User Privilege
- OS version
- Network Interfaces (address, netmask and status)
Software installed
FTP, POP3, IMAP, SMTP, HTTPMail, NNTP Passwords
Outlook login credentials
Private keys from system certificates
Login credentials for certain websites
Internet sessions

Andere Details

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die folgende Zeichenfolgen enthalten:

siteadvisor.com
avgthreatlabs.com
safeweb.norton.com

Moteur de scan minimum: 9.800

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 4

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt. Achten Sie auf Dateien, die als WORM_QAKBOT.SMUX entdeckt werden

Step 5

Im abgesicherten Modus neu starten

[ learnMore ]

Step 6

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{random key}
- ImagePath = "%Application Data%\Microsoft\{random folder}\{random file name}.exe"
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{random key}
- DisplayName = "Remote Procedure Call (RPC) Service"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random name} = "%Application Data%\{random folder name}\{random filename}.exe"

Step 7

Diese Dateien suchen und löschen

[ learnMore ]

Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.

%Application Data%\Microsoft\{random folder}\{random file name}.dll
%Application Data%\Microsoft\{random folder}\{random file name}32.dll
%Application Data%\Microsoft\{random file name}.wpl
%User Startup%\{random filename}.lnk

DATA_GENERIC_FILENAME_1

Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.

Markieren Sie die gefundene Datei, und drücken Sie UMSCHALT+ENTF, um sie endgültig zu löschen.

Wiederholen Sie die Schritte 2 bis 4 für die übrigen Dateien: %Application Data%\Microsoft\{random folder}\{random file name}.dll
%Application Data%\Microsoft\{random folder}\{random file name}32.dll
%Application Data%\Microsoft\{random file name}.wpl
%User Startup%\{random filename}.lnk

Step 8

Diese Ordner suchen und löschen

[ learnMore ]

Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.

%Application Data%\Microsoft\{random folder}

Step 9

Deleting Scheduled Tasks

Öffnen Sie Windows 'Geplante Task'. Klicken Sie auf 'Start>Programme>Zubehör>Systemprogramme>Geplante Tasks'.
Suchen Sie jeden Task, der den folgenden Wert in der Spalte 'Zeitplan' aufweist:
!!!REPLACE THIS!!!
Klicken Sie mit der rechten Maustaste auf die besagte(n) Datei(en) mit dem zuvor erwähnten Wert.
Klicken Sie auf 'Eigenschaften'. Suchen Sie im Feld 'Ausführen' nach der folgenden Zeichenfolge:
Cmd /c /rd /s /q C:
Wenn die besagte Zeichenfolge gefunden wird, löschen Sie den Task.

Step 10

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als WORM_QAKBOT.SMUX entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Step 11

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als WORM_QAKBOT.SMUX entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

Participez à notre enquête!

Overview

Détails techniques

Solutions

Ressources

Support

À propos de Trend

Siège social national

WORM_QAKBOT.SMUX

Overview

Détails techniques

Solutions

Ressources

Support

À propos de Trend

Siège social national

Amérique

Moyen-Orient et Afrique

Europe

Asie-Pacifique