Avira Virenlabor

‹ zurück

BDS/Androm.uda

Zusammenfassung
  • Name
    BDS/Androm.uda
  • Entdeckt am
    24.11.2015
  • VDF Version
    7.11.82.162 (2013-06-04 02:34)
Vollständige Beschreibung

Bei der Bezeichnung 'BDS' handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines Server-Programms können Daten verändert, gelöscht oder ausspioniert werden.

  • VDF
    7.11.82.162 (2013-06-04 02:34)
  • Alias
    Avast: Win32:MalPack-G
    AVG: SHeur4.BJTP
    ClamAV: Win.Trojan.Agent-944769
    Dr. Web: BackDoor.IRC.NgrBot.42
    F-PROT: W32/Dorkbot.P.gen!Eldorado (generic, not disinfectable)
    Trend Micro: WORM_DORKBOT.SK
    Microsoft: Worm:Win32/Dorkbot.I
    G Data: Trojan.Dorkbot.IC
    Kaspersky Lab: Trojan.Win32.Agent.ibnd
    Bitdefender: Trojan.Dorkbot.IC
    ESET: Win32/Dorkbot.B worm
  • Dateien
    Die folgenden Kopien der Datei werden erzeugt:
    • %APPDATA%\temp.bin
    • %APPDATA%\ScreenSaverPro.scr
    • %USERPROFILE%\Start Menu\Programs\Startup\NTDETECT.COM
    • %APPDATA%\Microsoft\Klocom.exe
    Die folgenden Dateien werden umbenannt:
    • %TEMPDIR%\WinPcap_4_1_3.exe
    Die folgenden Dateien werden gelöscht:
    • %TEMPDIR%\WinPcap_4_1_3.exe.gonewiththewings
    Die folgenden Dateien werden geändert:
    • %temporary internet files%\Content.IE5\index.dat
    • %USERPROFILE%\Cookies\index.dat
    • %USERPROFILE%\Local Settings\History\History.IE5\index.dat
    • %WINDIR%\Sti_Trace.log
    • %temporary internet files%\Content.IE5\index.dat
    • %USERPROFILE%\Cookies\index.dat
    • %USERPROFILE%\Local Settings\History\History.IE5\index.dat
    • %WINDIR%\Prefetch\SVCHOST.EXE-3530F672.pf
  • Einschleusungen
    • %SYSDIR%\cmd.exe
    • %SYSDIR%\ipconfig.exe
    • %DISKDRIVE%\hips\loader.exe
    • %WINDIR%\System32\svchost.exe
    • %SYSDIR%\svchost.exe
    • %SYSDIR%\mspaint.exe
    • \SystemRoot\System32\smss.exe
    • \??\%SYSDIR%\csrss.exe
    • \??\%SYSDIR%\winlogon.exe
    • %SYSDIR%\services.exe
    • %PROGRAM FILES%\VMware\VMware Tools\vmacthlp.exe
    • %WINDIR%\Explorer.EXE
    • %SYSDIR%\spoolsv.exe
    • %PROGRAM FILES%\FileZilla Server\FileZilla Server Interface.exe
    • %PROGRAM FILES%\VMware\VMware Tools\VMwareTray.exe
    • %PROGRAM FILES%\VMware\VMware Tools\vmtoolsd.exe
    • %WINDIR%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
    • %PROGRAM FILES%\FileZilla Server\FileZilla Server.exe
    • %WINDIR%\System32\alg.exe
    • %SYSDIR%\wscntfy.exe
    • %DISKDRIVE%\totalcmd\TOTALCMD.EXE
    • %SYSDIR%\msiexec.exe
    • %PROGRAM FILES%\Java\jre6\bin\jqs.exe
    • %SYSDIR%\wbem\wmiprvse.exe
    • %PROGRAM FILES%\WinPcap\rpcapd.exe
  • Registry
    Folgende Registryeinträge werden hinzugefügt:
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ("Screen Saver Pro 3.1": "%APPDATA%\ScreenSaverPro.scr")
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ServiceCurrent (@: dword:00000011)
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_STISVC\0000\Control ("ActiveService": "stisvc")
    • HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\Internet Settings ("ProxyEnable": dword:00000000)
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ("Klocom": "%APPDATA%\Microsoft\Klocom.exe")
    • HKEY_CURRENT_CONFIG\Software\Microsoft\windows\CurrentVersion\Internet Settings ("ProxyEnable": dword:00000000)
    Die Werte der folgenden Registry keys werden gelöscht:
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (StillImageMonitor: -)
  • HTTP-Anfragen
    • api.*****nia.com/