Backdoor.Win32.EXPLORAT.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %Windows%\Web\sysHelp\
• %Windows%\Web\sysHelp\cpl
• %Windows%\Web\sysHelp\cpc

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Dateien ein:

• %Windows%\Web\canaccess.tmp
• %Windows%\Web\sysHelp\{username}.tc.ada

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• cmd /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
• cmd /c type "C:\Windows\web\canaccess.tmp"
• cmd /c del /q "C:\Windows\web\canaccess.tmp"

Beendet sich selbst, wenn die folgenden Prozesse im Speicher des betroffenen Systems gefunden werden:

• OllyDbg
• PhantOm
• PEBrowse
• Xamarin
• Immunity

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• EOF – End of transmitted file
• EndTask – Terminate a specified process
• V – Kill explosive process and delete traces(?)
• K – Terminate explosive process
• R – Restart explosive process
• FileSend – Send a specified file
• CloseFile – Close a specified file
• OpenPF – Open a specified file
• RunCMD – Run a specified command line
• EnumKeys – Get the registry keys under a specified path
• EnumRootKeys – Get root registry keys
• GetRegValue – Get a specified registry value.
• Telnet – connect remotely
• Size – Get size of a specified file
• AddDir – Create a specified directory
• DelDir – create a specified directory
• ListProcess – List all running processes
• KillProcess – Terminate a specified process
• GetDrivesFolders – Get the content of a specific folder
• GetDrives – Get the drive list
• GetFiles – Send specific file to C&C
• ScShot – Get a screenshot
• DumpPass – Dump saved passwords
• DumpHist – Dump IE history
• KeyLog – get latest key logging file content
• ClipboardLog – get latest clipboard logging file content
• EnumWindows – List open windows
• DeleteFiles – Delete specified files
• CopyPasteFiles – copy and paste specified files
• CutPasteFiles – cut and paste specified file
• UnZip – decompress a specified file
• RenF – Rename file
• NTCommand – Run ReadSocket function from DLL module