NfLog

 Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
 Exposi??o das informa??es:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    Spyware

  • Destrutivo:
    N?o

  • Criptografado:
     

  • In the Wild:
    Sim

  Vis?o geral

F¨¹hrt Befehle eines externen, b?swilligen Benutzers aus, wodurch das betroffene System gef?hrdet wird.

Anschlie?end werden die heruntergeladenen Dateien ausgef¨¹hrt. Dadurch k?nnen die b?sartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

L?scht sich nach der Ausf¨¹hrung selbst.

  Detalhes t¨¦cnicos

Residente na mem¨®ria: Sim
Carga ¨²til: Connects to URLs/IPs, Collects system information

Installation

Schleust die folgenden Dateien ein:

  • %Temp%\$NtUninstallKB942388$ - contains stolen information
  • %Temp%\NfIpv6.ocx - also detected as BKDR_NFLOG
  • %Temp%\checkup.exe - also detected as BKDR_NFLOG
  • %User Temp%\word.doc - non-malicious DOC file
  • %User Temp%\¡À???.pdf - non-malicious PDF file
  • %Temp%\YahooCache.ini

(Hinweis: %Temp% ist der Windows Ordner f¨¹r tempor?re Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgef¨¹hrt zu werden:

  • svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgef¨¹hrt wird, indem sie die folgenden Registrierungseintr?ge hinzuf¨¹gt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
DisplayName = "IPv6 Stack Local Support"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Description = "Net address translation for IPv6 Protocol."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters
ServiceDll = "{malware path and filename}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security
Security = "{hex values}"

Andere System?nderungen

F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_USERS\.DEFAULT\Software\
Microsoft\Clock
HID = "{hex values}"

?ndert die folgenden Registrierungseintr?ge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths
Directory = "NetworkService's %Temporary Internet Files%\Content.IE5"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path1
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache1"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path2
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache2"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache2.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path3
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache3"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache3.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path4
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache4"

(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache4.)

Backdoor-Routine

F¨¹hrt die folgenden Befehle eines externen, b?swilligen Benutzers aus:

  • Download files
  • Perform remote shell
  • Retrieve system information
  • Update self

Sendet die folgenden Informationen an ihren Befehls- und Steuerungsserver (C&C):

  • IP configuration
  • Network statistics
  • Running processes
  • Running services
  • System information

Download-Routine

?ffnet die folgenden Websites, um Dateien herunterzuladen:

  • http://{BLOCKED}t.{BLOCKED}025.dns345.cn/norton/Nfile.asp
  • http://{BLOCKED}194.{BLOCKED}n.com/norton/Nfile.asp
  • http://www.{BLOCKED}eaderupdating.com/norton/Nfile.asp

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

  • %Temp%\MSMAPI.OCX - also detected as BKDR_NFLOG

(Hinweis: %Temp% ist der Windows Ordner f¨¹r tempor?re Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Anschlie?end werden die heruntergeladenen Dateien ausgef¨¹hrt. Dadurch k?nnen die b?sartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Andere Details

F¨¹r ihre ordnungsgem??e Ausf¨¹hrung sind die folgenden Dateien erforderlich:

  • %Temp%\YahooCache.ini

(Hinweis: %Temp% ist der Windows Ordner f¨¹r tempor?re Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

L?scht sich nach der Ausf¨¹hrung selbst.

Arquivo correspondente