Virus.Win64.EXPIRO.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Backdoor-Routine.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %AppDataLocal%\{random characters }\cmd.exe -> infected copy of legitimate %System%\cmd.exe
• {infected directory path}\{random characters}.tmp -> initial infected file, later replaces the host executable file contents and then deleted.
• %ProgramData%\{random characters }.dat
• %ProgramData%\{random characters }.nls

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Local\{random}

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Startup = %AppDataLocal%\{random characters}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
Startup = %AppDataLocal%\{random characters}

Dateiinfektion

Infiziert die folgenden Dateitypen:

• .EXE

Vermeidet es, Dateien zu infizieren, deren Name diese Zeichenfolgen enthält:

• rsvp.exe
• chrome.exe
• rundll32.exe
• consent.exe
• sppsvc.exe
• WerFault.exe

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• wscsvc
• WinDefend
• MsMpSvc
• NisSrv
• gupdate
• gupdatem
• wuauserv

Datendiebstahl

Stiehlt folgende Daten:

• OS Information
• Drive Information
• System Locale Language
• Processor Name and Description
• Baseboard SKU and Model
• DiskDrive Model and Size
• Computer System Product Information

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}bykovfoqys.ws
• http://{BLOCKED}jixxu-pafkel
• http://{BLOCKED}ezed-picriv.ws
• http://{BLOCKED}ilixif.ws
• http://{BLOCKED}lraf-uxek.com
• http://{BLOCKED}humydoc.in
• http://{BLOCKED}amytavyx.ws
• http://{BLOCKED}fytipi.biz
• http://{BLOCKED}ovoxijyr.com
• http://{BLOCKED}kda-miw.biz
• http://{BLOCKED}sicpu.ru
• http://{BLOCKED}u-ozyh.in
• http://{BLOCKED}ade-ry.org
• http://{BLOCKED}ejudkyl.cc
• http://{BLOCKED}ahokadyp.in
• http://{BLOCKED}vy-aqaziq.org
• http://{BLOCKED}mehiqsixa.biz
• http://{BLOCKED}ovakyv.biz
• http://{BLOCKED}fxyzeca.biz
• http://{BLOCKED}wanysa.biz
• http://{BLOCKED}omo-beljum.ws
• http://{BLOCKED}hode.cc
• http://{BLOCKED}junedelqa.cc
• http://{BLOCKED}epma-jeh.com
• http://{BLOCKED}rifithal.in
• http://{BLOCKED}-boqmy.biz
• http://{BLOCKED}fabqajci.ru
• http://{BLOCKED}wetexdy.cc
• http://{BLOCKED}ery-ro.ru
• http://{BLOCKED}zumiwahod.com
• http://{BLOCKED}ykkodyky.ws
• http://{BLOCKED}hojavaze.com
• http://{BLOCKED}uvaponi.in
• http://{BLOCKED}acutebo.ws
• http://{BLOCKED}iwitucy.net
• http://{BLOCKED}ixjyfy.com
• http://{BLOCKED}ca-uci.ru
• http://{BLOCKED}ulivafe.com
• http://{BLOCKED}sobbe.ws
• http://{BLOCKED}ubucsasaw.biz
• http://{BLOCKED}b-efal.ru
• http://{BLOCKED}-bifik.com
• http://{BLOCKED}b-yjes.ru
• http://{BLOCKED}b-ohap.ru
• http://{BLOCKED}b-uluz.ru
• http://{BLOCKED}b-ekew.ru
• http://{BLOCKED}-copog.com
• http://{BLOCKED}b-ypud.ru
• http://{BLOCKED}b-urok.ru
• http://{BLOCKED}b-aquh.ru
• http://{BLOCKED}b-ivar.ru
• http://{BLOCKED}-betop.com
• http://{BLOCKED}b-oxyx.ru
• http://{BLOCKED}b-yxav.ru
• http://{BLOCKED}b-abif.ru
• http://{BLOCKED}b-ubyc.ru
• http://{BLOCKED}by-ezu.ru
• http://{BLOCKED}vvy-sihpy.ws
• http://{BLOCKED}ubiwezu.com
• http://{BLOCKED}a-xojfu.biz
• http://{BLOCKED}i-izy.org
• http://{BLOCKED}pi-ziboj.in
• http://{BLOCKED}olonkub.ru
• http://{BLOCKED}ylvos-hyqe.ws
• http://{BLOCKED}nixly-muro.cc
• http://{BLOCKED}usdi-ihyq.in
• http://{BLOCKED}ybavyxo.org
• http://{BLOCKED}odkitywuli.ws
• http://{BLOCKED}ewvupazah.ws
• http://{BLOCKED}owvusxuwlu.ws
• http://{BLOCKED}oqi-co.in
• http://{BLOCKED}a-ahusdyb.net
• http://{BLOCKED}beqfu-son.biz
• http://{BLOCKED}hynxavdu.net
• http://{BLOCKED}xjedkiciten.biz
• http://{BLOCKED}woxiqaf.ru
• http://{BLOCKED}ibliki.ru

Andere Details

Es macht Folgendes:

• This infector infects the target files of shortcut files located in the following location(s):
  • %Programs%
  • %Desktop%
• Since the infector infects Startup programs, it also serves as its auto-start mechanism.
• It also searches all available drives for .EXE files that it will infect. In this way, the drives shared through network and removable drives will be infected. This also serves as its propagation method.

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)