Trojan.Win64.KGHSPY.ZKIH

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• %Windows%\explorer.exe /root, %System%\cmd.exe → loads downloaded %User Temp%\uc.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Wird ausgeführt und löscht sich dann selbst.

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Command Processor
AutoRun = rundll32.exe "%User Temp%\uc.dll", out & exit

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=wbi&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=paydb&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=paydl&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=sets&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=ucd&id={Computername}&ver={OS Architecture}

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\m.dll
• %User Temp%\ht.tr
• %User Temp%\sp.dll
• %User Temp%\s.dll
• %User Temp%\uc.dll

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Computername
• OS Architecture
• Contents of the following file:
  • %User Temp%\w.x

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/up.php?id={Computername}