Backdoor.Win64.SHADOWPAD.AD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %ProgramData%\Gateway\secur32.dll

Fügt die folgenden Prozesse hinzu:

• %Program Data%\Gateway\Algs.exe
• %System%\svchost.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Erstellt die folgenden Ordner:

• %ProgramData%\Gateway

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{Random Numbers}

Injiziert Code in die folgenden Prozesse:

• %System%\svchost.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
LayerGatewayService = %ProgramData%\Gateway\Algs.exe

Es handelt sich um eine .DLL-Datei, die die folgenden Dienste hinzufügt:

• Service Name: ALGS
  Display Name: Application Layer Gateway Service
  Description: Provides support for 3rd party protocol plug-ins for Internet Connection Sharing
  Start Type: SERVICE_AUTO_START
  Image Path: %ProgramData%\Gateway\Algs.exe

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Characters}
{Random Characters} = {hex values}

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Download and execute arbitrary codes

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• https://{BLOCKED}date.{BLOCKED}5.com

Zum Zeitpunkt der Fertigstellung dieses Textes sind die genannten Server nicht verfügbar.

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{Random Characters}

Es macht Folgendes:

• It requires to be loaded by %System%\Algs.exe to proceed with its malicious routine.
• It copies %System%\Algs.exe as %ProgramData%\Gateway\Algs.exe.

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)