Virus.Win32.BKICE.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Sammelt bestimmte Informationen auf dem betroffenen Computer.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\blackice.exe
• %System%\kernel.dll
• {Removable drive}\blackice.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %System%\blackice.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• blackicemutex

Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = %System%\blackice.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = Explorer.exe %System%\blackice.exe

Schleust die folgenden Dateien ein:

• {Removable Drive}\AUTORUN.inf -> executes blackice.exe

Andere Systemänderungen

Löscht die folgenden Dateien:

• Files with .GHO extension (Norton backup)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
AccessVBOM = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
AccessVBOM = 1

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .XLS files
• .DOC files
• .EXE files

Vermeidet es, die folgenden Dateien zu infizieren:

• "winnt" in path
• "windows" in path

Verbreitung

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• NAVAPW32
• NAVAPSVC
• NMAIN
• NAVW32
• KVFW
• KAVSVCUI
• KAVPFW
• KAV32
• KVXP
• KVSRVXP
• KVMONXP
• KVWSC
• KAVSVC
• KWATCHUI
• RAVMOND
• RAVMON
• RAVTIMER
• RISING
• RAV.EXE
• IPARMOR
• TROJANHUNTER
• THGUARD
• PFW
• EGHOST
• ANYVIEW
• KASPERSKY
• 360SAFE

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %System%\blackice.ini -> contains received information from C2 server (deleted later)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• Hostname
• Volume Serial Number
• MAC Address
• Microsoft Office Version

Andere Details

Es macht Folgendes:

• Should meet the following conditions in order to proceed with infection routine:
  • dwOSVersionInfoSize should be 9c or 94
  • dwPlatformId should be 2 (Win32NT or later)
• Infects files found in the following drive types:
  • Fixed
  • Network connected via WNetEnum