BKDR_LODORAT.A

Diese Malware hat keine Verbreitungsroutine.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Schleust folgende Dateien/Komponenten ein:

• %User Temp%\IXP000.TMP\TMP4351$.TMP - deleted afterwards
• %AppDataLocal%\CSIDL_X - deleted afterwards
• %AppDataLocal%\CSIDL_
• %User Temp%\IXP000.TMP\M.ex_ - deleted afterwards
• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}\eknr.ex_ <- hidden copy of eknr.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}\eknr.exe <- also detected as BKDR_LODORAT.A
• %User Temp%\IXP000.TMP\M.exe <- copy of eknr.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}
• %User Temp%\IXP000.TMP

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
eknr = "C:\Users\dyituser_732\AppData\Roaming\{A8844B0B-CA06-CB5E-D0E5-7B08749934CC}\eknr.exe"

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\system.pif <- copy of eknr.exe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
M

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
eknr

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
wextract_cleanup0 = "rundll32.exe %System%\advpack.dll,DelNodeRunDLL32 "%User Temp%\IXP000.TMP\""

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Manage Windows
  • List all active windows
  • Control active windows
• Manage Applications
  • List all installed applications
  • Uninstall application on the list
• Manage files
  • Create
  • Delete
  • Copy
  • Rename
  • Set Attributes
• Download/Upload arbitrary files
• Execute arbitrary files
• Perform Remote Shell Commands
• Monitor System Information (CPU Usage, etc)
• List Active Processes
• Execute/Terminate Arbitrary Processes
• Activate keylogger (Online/Offline)
• Stream Desktop/Webcam
• Send and Receive Messages
• Manage Server
  • Get Server Information
  • Remove Server
  • Restart Server
  • Rename Server
• Miscellaneous Commands
  • Open/Close CD Drive
  • Hide/Show Icons
  • Hide/Show Taskbar
  • Lock/Unlock Mouse
  • Hide/Show Start
  • Turn Monitor On/Off
  • Swap Mouse Buttons
  • Shutdown/Restart/Logoff Machine
  • Manipulate Control Panel
  • Print arbitrary files
  • Get data from ClipBoard
  • Manipulate IE Settings

Zum Zeitpunkt der Fertigstellung dieses Textes sind die genannten Server nicht verfügbar.