Analisado por: Mark Joseph Manahan   
 Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    Backdoor

  • Destrutivo:
    N?o

  • Criptografado:
    N?o

  • In the Wild:
    Sim

  Vis?o geral

Canal de infec??o: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

L?scht Dateien, so dass Programme und Anwendungen nicht ordnungsgem?? ausgef¨¹hrt werden.

F¨¹hrt Befehle eines externen, b?swilligen Benutzers aus, wodurch das betroffene System gef?hrdet wird. Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

  Detalhes t¨¦cnicos

Portos Usados: TCP Port 443
Tipo de compacta??o: 65,536 bytes
Tipo de arquivo: DLL
Residente na mem¨®ria: N?o
Data de recebimento das amostras iniciais: 25 abril 2013
Carga ¨²til: Connects to URLs/IPs, Compromises system security, Downloads files, Executes files

Installation

Schleust die folgenden Dateien ein:

  • %WINDOWS%\$NtUninstallKB080515$\Usblog_DXM.log

Erstellt die folgenden Ordner:

  • %WINDOWS%\$NtUninstallKB080515$

Andere System?nderungen

L?scht die folgenden Dateien:

  • {Malware Path}\msvidc161.dll
  • %System%\winmm16.dll

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_CLASSES_ROOT\exefile
NeverShowExt = "0"

?ndert die folgenden Registrierungseintr?ge:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckValue = "0"

(Note: The default value data of the said registry entry is 1.)

Backdoor-Routine

F¨¹hrt die folgenden Befehle eines externen, b?swilligen Benutzers aus:

  • Get Malware Information
  • Update Itself
  • Update C&C servers/IP Information
  • Perform sleep command
  • File Manipulation (View added files, Rename, Delete, Check filetype, Modify, Change attiributes, Change filetime, Copy)
  • Directory Manipulation (Change Current, Add, View directories)
  • Reboot and Disconnect
  • Perform shell command
  • View System Informations (Mac Address, Computer Name, Wan/Local IP, Disk Information, Display Mode, CPU Information, Path of System Directory, OS Inofrmation, Drive Information, Malware Uptime)
  • Load other modules
  • Execute a program (with option as Administrator)
  • List IPs
  • List/Disconnect TCP Connections
  • List/Kill Processes
  • Download File
  • Upload File
  • Enumerate/Install Services
  • Load keylogging module (mskb32.dll)

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

  • {BLOCKED}.{BLOCKED}.204.62
  • {BLOCKED}.{BLOCKED}.102.244
  • {BLOCKED}.{BLOCKED}.103.42
  • {BLOCKED}.{BLOCKED}.10.239
  • {BLOCKED}.{BLOCKED}.145.118
  • {BLOCKED}i89.{BLOCKED}s.info
  • http://{BLOCKED}02.{BLOCKED}z.info/dxj

  Solu??o

Mecanismo de varredura m¨ªnima: 9.300
Primeiro arquivo padr?o VSAPI: 9.876.06
Data do lan?amento do primeiro padr?o VSAPI: 25 abril 2013
VSAPI OPR Pattern Version: 9.877.00
VSAPI OPR Pattern ver?ffentlicht am: 25 abril 2013

Step 1

F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

Diesen Registrierungswert l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_CLASSES_ROOT\exefile
    • NeverShowExt = "0"

Step 3

Diesen ge?nderten Registrierungswert wiederherstellen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: Hidden = "0"
      To: Hidden = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: HideFileExt = "1"
      To: HideFileExt = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
    • From: CheckValue = "0"
      To: CheckValue = "1"

Step 4

Diese Ordner suchen und l?schen

[ Saber mais ]
Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu ber¨¹cksichtigen. ?
  • %WINDOWS%\$NtUninstallKB080515$\

Step 5

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als BKDR_TENGO.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.


Participe da nossa pesquisa!