BKDR_NITOL.BD

Wird als Datei übertragen, die die Funktionen anderer Malware/Grayware/Spyware exportiert. Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Öffnet zufällig ausgewählte Ports, damit sich ein externer Benutzer mit dem betroffenen System verbinden kann. Nach dem Herstellen der Verbindung führt der externe Benutzer Befehle auf dem betroffenen System aus.

Verbindet sich mit bestimmten URLs. Dadurch kann ein böswilliger Benutzer extern über die Installation informiert werden. Es können auch möglicherweise bösartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erhöht wird.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird als Datei übertragen, die die Funktionen anderer Malware/Grayware/Spyware exportiert.

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets übertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\{random filename}.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Die DLL-Komponente wird in den oder die folgenden Prozesse injiziert:

• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\6to4
ImagePath = %SystemRoot%\System32\svchost.exe -k netsvcs

Fügt die folgenden Dienste hinzu und führt sie aus:

• 360svc
• netsvcs_{random value}

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\6to4\Parameters
ServiceDll = %System%\{random filename}.dll

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\6to4\Parameters
ServiceMain = StartRouter

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\6to4\Parameters
Security = {random numbers}

Backdoor-Routine

Öffnet zufällig ausgewählte Ports, damit sich ein externer Benutzer mit dem betroffenen System verbinden kann. Nach dem Herstellen der Verbindung führt der externe Benutzer Befehle auf dem betroffenen System aus.

Download-Routine

Verbindet sich mit den folgenden bösartigen URLs:

• {BLOCKED}1.{BLOCKED}4.175.208

Andere Details

Löscht sich nach der Ausführung selbst.