Virus.Win32.NAPWHICH.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %ProgramData%\Synaptics

Schleust die folgenden Dateien ein:

• {Malware path}\._cache_{Malware name} (copy of original executable prior to its infection)
• %ProgramData%\Synaptics\Synaptics.exe (mother file)
• %System%\{Random characters}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• {Malware path}\._cache_{Malware name}
• %ProgramData%\Synaptics\Synaptics.exe InjUpdate
• %System%\cmd.exe /c pause
• %System%\cmd.exe /c del {Malware path}\._cache_{Malware name} > nul

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Synaptics2X
• FBsaFRkaHhUUGxoVFB0cKw==

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Synaptics Pointing Device Driver = %ProgramData%\Synaptics\Synaptics.exe

Startet die folgenden Dienste:

• Service name: Abcdef Hijklmno Qrs
  Image path: %System%\{Random characters}.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .exe
• .xlsx (changed extension to .xlsm)

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Get command line access
• Capture screenshot
• List all disks
• List folders
• Download and execute files
• Delete files
• Add guest users to net group
• Display message boxes
• Log keystrokes
• Get clipboard data
• Write to master boot record

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://freedns.{BLOCKED}d.org/api/?action=getdyndns&sha=a30fa98efc092684e8d1c5cff797bcc613562978
• xred.{BLOCKED}o.com:1199
• {BLOCKED}.{BLOCKED}.103.169:6380

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{Random characters}.ini

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Sammelt bei Ausführung der betroffenen Anwendung die folgenden Informationen:

• OS information
• Location of %ProgramData% folder
• Dropped file and folder name
• Flag to indicate if malware is executed as administrator
• Malware version
• Keylogged information
• Clipboard data

Entwendete Daten

Sendet die gesammelten Daten über SMTP an die folgenden E-Mail-Adressen:

• {BLOCKED}ne2@gmail.com
• {BLOCKED}ne3@gmail.com

Andere Details

Es macht Folgendes:

• It may enable or disable remote desktop connections through manipulating the following registry:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections