JS_MORPHE.SM5

Voie d'infection: Verbreitet sich über Wechseldatenträger, Fallen gelassen von anderer Malware, Aus dem Internet heruntergeladen

Aktiviert die automatische Ausführung bei jedem Systemstart durch Einschleusen von Eigenkopien in den Windows Autostart-Ordner.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

File size: Varie

File type: JS

Memory resident: Non

Date de réception des premiers échantillons: 30 mai 2013

Charge malveillante: Steals information

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

%Application Data%\{random folder name}\{random file name}.js
%Program Files%\{random folder name}\{random file name}.js

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust folgende nicht bösartigen Dateien ein:

%System Root%\{random folder name}\{random file name 1} - contains file name of initially executed copy
%System Root%\{random folder name}\{random file name 2} - blank file
%System Root%\{random folder name}\{random file name 3} - contains random numbers
%System Root%\{random folder name}\{random file name 4} - contains random hex values
%System Root%\{random folder name}\{random file name} - contains random values
%User Temp%\{random file name} - location of affected system

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

%System Root%\{random folder name}
%Application Data%\{random folder name}
%Program Files%\{random folder name}

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%Application Data%\{random folder name}\{random file name}.js"

Aktiviert die automatische Ausführung bei jedem Systemstart durch Einschleusen der folgenden Eigenkopien in den Windows Autostart-Ordner.

%User Startup%\{random file name}.js
%All Users Profile%\Startup\{random file name}.js
{Other Users' Profile}\Startup\{random file name}.js - the number of instances depends on the number of other user profiles in the affected system

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntivirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies
NoDispCPL = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies
DisableCMD = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies
DisableRegistryTools = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Windows NT\CurrentVersion
SystemRestoreDisableSR = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsft\Internet Explorer\Control Panel
HomePage = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\MRT
DontReportInfectionInformation = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\System Restore
DisableConfig = "1"

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\Policies\Explorer
NoControlPanel = "1"

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\Policies\Explorer
"NofolderOptions" = "1"

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\Policies\Explorer
NoWindowsUpdate = "1"

HKEY_CURRENT_USER\Policies\Microsoft\
Internet Explorer\Control Panel
HomePage = "1"

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntivirusDisableNotify = "1"