Trojan.Win32.FUPORPLEX.END

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %System%\drivers\dump_{Random characters}.sys

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\Ms{Random character}App.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %System%\svchost.exe -k LocalService
• %System%\svchost.exe -k NetworkService

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\ExpDriver
• Global\ExpServicA
• Global\{Characters based on volume serial number}CSS
• Global\{Characters based on volume serial number}AppService
• Global\{Characters based on volume serial number}SetService
• Global\{Characters based on volume serial number}SetServiceX
• Global\{Characters based on volume serial number}SLG_MutexLock

Autostart-Technik

Es handelt sich um eine .DLL-Datei, die die folgenden Dienste hinzufügt:

• Ms{Random characters}App -> runs %System%\Ms{Random character}App.dll
• dump_{Random characters} -> runs %System%\drivers\dump_{Random characters}.sys

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

• All files inside the %Windows% folder with Ms and Es or Ex in its filename
• All files inside the %System% folder with Ms and Es or Ex in its filename

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectPlay8\Direct3D
{Random characters} = {Random characters}

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Minimal\
Ms{Random characters}App
(Default) = Service

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Network\
Ms{Random characters}App
(Default) = Service

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Minimal\
dump_{Random characters}.sys
(Default) = Service

Andere Details

Es macht Folgendes:

• It checks whether it is running on the following processes:
  • WinLogon.exe
  • svchost.exe
• It adds the malicious Ms{Random characters}App service to the netsvcs service group by modifying the value of HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost\netsvcs.
• Added %System%\svchost.exe -k LocalService serves as a watchdog for added %System%\svchost.exe -k NetworkService and vice versa
• It locates for the following files to continue its malicious routine:
  • %Windows%\AppPatch\Ke{Random characters}.xsl
  • %Windows%\AppPatch\Ac{Random characters}.sdb
  • .moe files in %Windows%\AppPatch\Custom
  • .mow files in %Windows%\AppPatch\Custom

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)