BKDR_TENGO.A

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• %WINDOWS%\$NtUninstallKB080515$\Usblog_DXM.log

Erstellt die folgenden Ordner:

• %WINDOWS%\$NtUninstallKB080515$

Andere Systemänderungen

Löscht die folgenden Dateien:

• {Malware Path}\msvidc161.dll
• %System%\winmm16.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CLASSES_ROOT\exefile
NeverShowExt = "0"

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckValue = "0"

(Note: The default value data of the said registry entry is 1.)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Get Malware Information
• Update Itself
• Update C&C servers/IP Information
• Perform sleep command
• File Manipulation (View added files, Rename, Delete, Check filetype, Modify, Change attiributes, Change filetime, Copy)
• Directory Manipulation (Change Current, Add, View directories)
• Reboot and Disconnect
• Perform shell command
• View System Informations (Mac Address, Computer Name, Wan/Local IP, Disk Information, Display Mode, CPU Information, Path of System Directory, OS Inofrmation, Drive Information, Malware Uptime)
• Load other modules
• Execute a program (with option as Administrator)
• List IPs
• List/Disconnect TCP Connections
• List/Kill Processes
• Download File
• Upload File
• Enumerate/Install Services
• Load keylogging module (mskb32.dll)

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}.{BLOCKED}.204.62
• {BLOCKED}.{BLOCKED}.102.244
• {BLOCKED}.{BLOCKED}.103.42
• {BLOCKED}.{BLOCKED}.10.239
• {BLOCKED}.{BLOCKED}.145.118
• {BLOCKED}i89.{BLOCKED}s.info
• http://{BLOCKED}02.{BLOCKED}z.info/dxj