TrojanSpy.Win32.LOKI.BZ

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Löscht sich nach der Ausführung selbst.

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\{substring from hash of machine GUID}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\{substring from hash of machine GUID}\{substring from hash of machine GUID}.lck - used for resource locking
• %Application Data%\{substring from hash of machine GUID}\{substring from hash of machine GUID}.hdb - hash database of stolen information

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{substring from hash of machine GUID}\{substring from hash of machine GUID}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {Hash of Machine GUID}

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\SOFTWARE\{data}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\SOFTWARE\{data}
{substring from Hash of Machine GUID} = %Application Data%\{substring from Hash of Machine GUID}\{substring from Hash of Machine GUID}.exe

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

• http://www.{BLOCKED}ymarlne.com/bazzltd/roks5/PvqDq929BSx_A_D_M1n_a.php

Datendiebstahl

Stiehlt folgende Daten:

• User name
• Computer name
• Machine GUID

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://www.{BLOCKED}ymarlne.com/second/rock7/fre.php

Andere Details

Löscht sich nach der Ausführung selbst.