BKDR_BLACKEN.A

Um einen Überblick über das Verhalten dieser Backdoor zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird möglicherweise von anderer Malware von Remote-Sites heruntergeladen:

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von der folgender Malware von Remote-Sites heruntergeladen:

• TROJ_MDLOAD.PGTY

Installation

Schleust folgende Komponentendateien ein:

• %AppDataLocal%\FONTCACHE.DAT - detected as BKDR_BLACKEN.A
  This is executed as follows:
  rundll32.exe AppDataLocal%\FONTCACHE.DAT,MakeCache

Autostart-Technik

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\{GUID}.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Check_Associations = "no"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
DisableFirstRunCustomize = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\InformationBar
FirstTime = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\New Windows
PopupMgr = "no"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
Enabled = "0"

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache
Persistent = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
WarnOnClose = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
WarnOnCloseAdvanced = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Recovery
NoReopenLastSession = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
%System%\rundll32.exe = "DisableNXShowUI"

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Uninstall itself
• Load Plugin
• Unload Plugin
• Update config
• Download and execute arbitrary file
• Update DLL component

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}5.{BLOCKED}3.193.131/{BLOCKED}c2VhdHJlaWRlczk0/dirconf/check.php
  • sends the following: id={malware id}&bid={build id}=&nm={value}&cn={value}&num={value}