Backdoor.Win32.SDBBOT.AA.tmsr

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• When ran with administrator privileges:
  • When ran in a system with a version lower than or equal to Windows 7:
    • %User Temp%\sdb{4 digit Hex Number}.tmp
    • %Windows%\AppPatch\Custom\{hex-values}.sdb
  • When ran in a system with a version greater than Windows 7:
    • %System%\mswinload0.dll
• When ran without administrator privileges:
  • %Application Data%\mswinload.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• When ran with administrator privileges:
  • %System%\sdbinst.exe -q -p %User Temp%\sdb{4 digit Hex Number}.tmp (While running in a system with a version lower than or equal to Windows 7)

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• windows_7_windows_10_check_running_once_mutex

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mswinload = rundll32 %AppData\mswinload.dll,#1

Fügt die folgenden "Image File Execution Options"-Registrierungseinträge hinzu, um sich beim Starten bestimmter Anwendungen automatisch selbst auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
winlogon.exe
VerifierDlls = mswinload0.dll

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 random letters}
{1 letter} = {Hex Values}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}
{1 letter} = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe
{hex-values}.sdb = {Timestamp}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb
DisplayName = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb
UninstallString = %System%\sdbinst.exe -u %Windows%\AppPatch\Custom\{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabasePath = %Windows%\AppPatch\Custom\{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseType = {Numbers}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseDescription = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseInstallTimeStamp = {Timestamp}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Execute CMD Commands
• Reboot the System
• Sleep
• Record Video
• Enable/Disable RDP
• Port Forward
• Inject PE Files
• Get Drive Information and Directories/Files
• Manage Files (Create,Read,Write,Delete)
• Create Directory

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}analtyic.com:443

Datendiebstahl

Folgende Daten werden gesammelt:

• Domain Name
• Computer Name
• Country Code
• OS Version and Architecture
• User Privilege
• Proxy Settings

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 random letters}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}

Es macht Folgendes:

• After installing itself in the system, the system it is running on needs to be rebooted in order for it to proceed with its other malicious routines.
• It checks the user privilege it is run with and depending on what was used it will use the following registry tree:
  • HKEY_LOCAL_MACHINE → When run with administrator rights
  • HKEY_CURRENT_USER → When run without administrator rights
• The created registry key contains the loader for the encrypted RAT component and the encrypted RAT component itself.
• It checks the version of the system it is running on and depending on the result will use different ways of establishing persistence:
  • For systems running with a version lower than or equal to Windows 7:
    • Via Applications Shims (Installed with sdbinst.exe)→ When run with administrator rights
    • Via Registry Run Keys → When run without administrator rights
  • For systems running with a version greater than Windows 7:
    • Via Registry Run Keys → When run without administrator rights
    • Via Image File Execution Options Keys → When run with administrator rights