Virus.Win32.INDUC.A.orig

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Fügt Infektionsmarker in Dateien ein.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\APMV\APMV.exe.id - Victim ID
• %Application Data%\APMV\APMV.exe.flag - Marker
• %Application Data%\APMV\APMV.exe.dat - Timestamp

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\APMV\APMV.exe
• %User Temp%\{Random Capital Letters}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• %Application Data%\APMV

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• taskmgr.exe

Autostart-Technik

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %All Users Profile%\APMV.lnk

Andere Systemänderungen

Löscht die folgenden Dateien:

• %Windows%\desk.cpl
• %Windows%\sxs.dll
• %Windows%\xpsp2res.dll
• %Windows%\fastsmell.exe
• %System%\ntos.exe
• If it has the following filenames:
  • rasadhlp.dll
  • mcenspc.dll
  • msvcrt57.dll
  • Kbrero.exe
  • Ubrery.exe
  • zeiaiz.exe
  • bsysmgr.exe.
  • enfcspl.dll
  • setupapi.dll
  • sdra64.exe
  • twex.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .EXE Files

Fügt Infektionsmarker in Dateien ein.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://www.{BLOCKED}et.com/tabla/uploads/av-33970.jpg
• http://forum.{BLOCKED}a.com/data/avatars/l/49/49632.jpg
• http://forum.{BLOCKED}s.vn/image.php?u=696

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Andere Details

Es macht Folgendes:

• It accepts the following arguments:
  • -autorun → Perform its infection routines
• If run without arguments it will create its autostart and delete the listed files. The deleted files will be deleted after a reboot has been performed.
• It infects files by:
  • Encoding the target file. Appending it to its own code and then writing it back to its target file.
• It adds the following to its infected files as infection marker:
  • -=supernatural=-
• It avoids infecting files from drives:
  • Where the drive type is CD-ROM, UNKNOWN or NO ROOT DRIVE.
  • Where System Volume Infomation exists.
• If Delphi is installed in the machine:
  • It will look for the following files:
    • bin\dcc32.exe
    • lib\sysinit.dcu
    • rtl\sys\system.pas
  • If found it will drop the following file (If it doesnt exist):
    • {source directory}\Defines.inc → contains malicious code in array form
  • It writes code to rtl\sys\sysinit.pas to load the malicious code from Defines.inc.
  • Then it will execute the following command to compile Delphi libraries with inserted malicious code:
    • {Delphi installation path}\­bin\­dcc32.exe –Q &{Delphi installation path}\­rtl\­sys\­System.pas& –M –Y –Z -$D- -0