Virus.Win32.LOOKED.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Injiziert die eingeschleuste Datei/Komponente in bestimmte Prozesse.

Hängt eigenen Code an den Anfang der Zieldateien an. Infiziert bestimmte Dateitypen durch Einfügen des eigenen Codes.

Diese Malware hat keine Backdoor-Routine.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Diese Malware kann keine Daten stehlen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %Windows%\uninstall\

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\uninstall\rundl132.exe
• If an infected file is executed:
  • %Windows%\Logo1_.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• If an infected file is executed:
  • cmd /c %User Temp%\{temp filename].bat
  • %Windows%\Logo1_.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Injiziert die eingeschleuste Datei/Komponente in folgende Prozesse:

• explorer.exe
• iexplore.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
load = %Windows%\uninstall\rundl132.exe

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
DownloadWWW
auto = 1

Dateiinfektion

Hängt eigenen Code an den Anfang der Zieldateien an.

Sucht in den folgenden Laufwerken nach Zieldateien:

• C to Z (Fixed drives only)

Infiziert Dateien mit den folgenden Dateierweiterungen durch Einfügen des eigenen Codes:

• .EXE

Vermeidet es, Ordner zu infizieren, die diese Zeichenfolgen enthalten:

• system
• system32
• windows
• Documents and Settings
• System Volume Information
• Recycled
• winnt
• Program Files\Windows NT
• Program Files\WindowsUpdate
• Program Files\Windows Media Player
• Program Files\Outlook Express
• Program Files\Internet Explorer
• Program Files\ComPlus Applications
• Program Files\NetMeeting
• Program Files\Common Files
• Program Files\Messenger
• Program Files\InstallShield Installation Information
• Program Files\Microsoft Frontpage
• Program Files\Movie Maker
• Program Files\MSN Gaming Zone

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• Kingsoft AntiVirus Service

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• EGHOST.EXE
• IPARMOR.EXE
• KAVPFW.EXE
• KRegEx.exe
• KVMonXP.KXP
• KVXP.KXP
• MAILMON.EXE
• mcshield.exe
• RavMon.exe
• Ravmond.EXE
• regsvc.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System Root%\_desktop.ini → contains date of infection
• %Windows%\RichDll.dll → detected as TROJ_LOOKED.ACM
• If an infected file is executed:
  • %User Temp%\{temp filename].bat → replaces infected file with original(uninfected) file

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Download-Routine

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Diese Malware kann keine Daten stehlen.

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\Software\Soft

HKEY_LOCAL_MACHINE\Software\Soft\
DownloadWWW

Es macht Folgendes:

• It prioritizes infection on the following executables:
  • ACDSee4.exe
  • ACDSee5.exe
  • ACDSee6.exe
  • AgzNew.exe
  • Archlord.exe
  • AutoUpdate.exe
  • autoupdate.exe
  • BNUpdate.exe
  • Datang.exe
  • editplus.exe
  • EXCEL.EXE
  • flashget.exe
  • foxmail.exe
  • FSOnline.exe
  • GameClient.exe
  • install.exe
  • jxonline_t.exe
  • launcher.exe
  • lineage.exe
  • LineageII.exe
  • MHAutoPatch.exe
  • Mir.exe
  • msnmsgr.exe
  • Mu.exe
  • my.exe
  • NATEON.exe
  • NSStarter.exe
  • Patcher.exe
  • patchupdate.exe
  • QQ.exe
  • Ragnarok.exe
  • realplay.exe
  • run.exe
  • setup.exe
  • Silkroad.exe
  • Thunder.exe
  • ThunderShell.exe
  • TTPlayer.exe
  • Uedit32.exe
  • Winrar.exe
  • WINWORD.EXE
  • woool.exe
  • zfs.exe
• It then infects all executables in directories and subdirectories that do not have any of the executables.
• This malware attempts to propagate via network shares. It uses administrator as its user name to gain access to the following default shares:
  • ADMIN$
  • IPC$
• It closes window(s) related to the following processes:
  • avp.exe
  • RavMon.exe