BKDR_HELOAG
Windows 2000, Windows XP, Windows Server 2003
Tipo de grayware:
Backdoor
Destrutivo:
Não
Criptografado:
In the Wild:
Sim
Visão geral
Detalhes técnicos
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Windows%\ThunderUpdate.exe
- %Windows%\csrse.exe
- %Windows%\conme.exe
(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)
Autostart-Technik
Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_SSDT_TOOL\
0000
Service = "SSDT_TOOL"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SSDT_TOOL
ImagePath = "\??\{malware path}\SSDT_TOOL.sys"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SSDT_TOOL
DisplayName = "SSDT_TOOL"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SSDT_TOOL\Security
Security = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SSDT_TOOL\Enum
0 = "Root\LEGACY_SSDT_TOOL\0000"
Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %Windows%\ThunderUpdate.exe"
(Note: The default value data of the said registry entry is Explorer.exe.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %Windows%\csrse.exe"
(Note: The default value data of the said registry entry is Explorer.exe.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %Windows%\conme.exe asds"
(Note: The default value data of the said registry entry is Explorer.exe.)
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"
Ändert die folgenden Registrierungseinträge:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = "0"
(Note: The default value data of the said registry entry is 1.)