PE_RAMNIT.H

Infiziert dadurch, dass der eigene Code an die Zielhostdateien angehängt wird.

Installation

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• KyUffThOkYwRRtgPP

Autostart-Technik

Schleust die folgenden Dateien ein:

• %Program Files%\Microsoft\DesktopLayer.exe - detected as PE_RAMNIT.H-O
• %{CurrentDirectory}%\{malware filename}Srv.exe - detected as PE_RAMNIT.H
• %Program Files%\INTERNET EXPLORER\dmlconf.dat - non-malicious component

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %system%\userinit.exe,,%Program Files%\microsoft\desktoplayer.exe

(Note: The default value data of the said registry entry is %system%\userinit.exe,.)

Dateiinfektion

Infiziert die folgenden Dateitypen:

• dll
• exe

Infiziert dadurch, dass der eigene Code an die Zielhostdateien angehängt wird.

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• It opens a hidden instance of iexplore.exe and connects to remote sites to download and execute possible malicious file(s).
• Injects a malicious VBScript to HTML files.
• Propagates via removable drives.