Backdoor.Win32.RMSRAT.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\WinRAR
• %Application Data%\WinRAR\Version

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\WinRAR\Version\winspool.drv -> contains malicious routines
• %Application Data%\WinRAR\Version\UniPrint.exe
• %Application Data%\WinRAR\Version\WinPrint.exe -> loads winspool.drv
• %Application Data%\WinRAR\Version\libeay32.dll
• %Application Data%\WinRAR\Version\ssleay32.dll

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%Application Data%\WinRAR\Version\WinPrint.exe"
• "%Application Data%\WinRAR\Version\UniPrint.exe"
• "C:\Windows\System32\cmd.exe" /c REG ADD "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" /V "Virtual Printer Driver" /t REG_SZ /F /D "\"%Application Data%\WinRAR\Version\WinPrint.exe\""
• REG ADD "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" /V "Virtual Printer Driver" /t REG_SZ /F /D "\"%Application Data%\WinRAR\Version\WinPrint.exe\""

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Virtual Printer Driver = "%Application Data%\WinRAR\Version\WinPrint.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\WDMPrint
General = {Hex values}

HKEY_CURRENT_USER\Software\WDMPrint
Security = {Hex values}

HKEY_CURRENT_USER\Software\WDMPrint
InternetId = {Hex values}

HKEY_CURRENT_USER\Software\WDMPrint
Certificates = {Hex values}

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• raven-b.{BLOCKED}sting.com:5655
• {BLOCKED}.{BLOCKED}.252.66:5655

Datendiebstahl

Folgende Daten werden gesammelt:

• Host name
• Country code
• Operating System
• If it has admin privileges

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\WDMPrint

It connects to the following possibly malicious URL:

• http://{BLOCKED}istries.com/templates/data/command.php?t=2&id={Unique ID}

Es macht Folgendes:

• Self extracting file containing the malicious file and its components
• Backdoor commands are the same as the remote capabilities of HackTool.Win32.Radmin.GQ