BKDR_DOKSTORMC.A
W32/Injector.UPJ!tr (Fortinet), Backdoor.Win32.Dokstormac (Ikarus), Backdoor:Win32/Dokstormac.A (Microsoft), a variant of Win32/Injector.UPJ trojan (NOD32)
Windows 2000, Windows XP, Windows Server 2003
Tipo de grayware:
Backdoor
Destrutivo:
N?o
Criptografado:
Sim
In the Wild:
Sim
Vis?o geral
Um einen ?berblick ¨¹ber das Verhalten dieser Backdoor zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

F¨¹hrt Befehle eines externen, b?swilligen Benutzers aus, wodurch das betroffene System gef?hrdet wird.
Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erw?hnten Sites jedoch nicht zug?nglich.
Detalhes t¨¦cnicos
Installation
Schleust folgende Dateien/Komponenten ein:
- %Application Data%\Imvu\asl.avf
- %Application Data%\Imvu\logs\{Date of Execution}.arl
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Application Data%\Imvu\Imvu.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Erstellt die folgenden Ordner:
- %Application Data%\Imvu
- %Application Data%\Imvu\logs
- %Application Data%\Imvu\IML
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:
- qawsed
- ujyhtg
- rftgyh
- yhujik
Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgef¨¹hrt zu werden:
- iexplore.exe
- notepad.exe
Autostart-Technik
F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Skype = "%Application Data%\Imvu\Imvu.exe"
Andere System?nderungen
F¨¹gt die folgenden Registrierungseintr?ge als Teil der Installationsroutine hinzu:
HKEY_CURRENT_USER\Software\Skype
ID = "{random values}"
HKEY_CURRENT_USER\Software\Skype
PX = "{random number}"
Backdoor-Routine
?ffnet folgende Ports und wartet dort auf Remote-Befehle:
- TCP Port 8888
F¨¹hrt die folgenden Befehle eines externen, b?swilligen Benutzers aus:
- Check for internet connection
- Visit a website
- Download other files
- Execute remote shell
- List open processes
- Terminate processes
- Create processes
- Shutdown computer
- Copy file
- Delete file
- Execute file
- Access TeamViewer if found
- Get Logical Drives information
- Delete registry keys
- Log keystrokes
- End backdoor connection
Download-Routine
Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erw?hnten Sites jedoch nicht zug?nglich.
Solu??o
Step 1
F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
Im abgesicherten Modus neu starten
Step 3
Diese Dateien suchen und l?schen
- %Application Data%\Imvu\asl.avf
- %Application Data%\Imvu\logs\{Date of Execution}.arl
Step 4
Diese Ordner suchen und l?schen
- %Application Data%\Imvu
- %Application Data%\Imvu\logs
- %Application Data%\Imvu\IML
Step 5
Diesen Registrierungswert l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Skype = "%Application Data%\Imvu\Imvu.exe"
- Skype = "%Application Data%\Imvu\Imvu.exe"
- In HKEY_CURRENT_USER\Software\Skype
- ID = "{random values}"
- ID = "{random values}"
- In HKEY_CURRENT_USER\Software\Skype
- PX = "{random number}"
- PX = "{random number}"
Step 6
F¨¹hren Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt nach Dateien, die als BKDR_DOKSTORMC.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.
Participe da nossa pesquisa!