BKDR_ALINA.POSKAT

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它在受感染的系统中(zhōng)植入并执行下列自身副本：

• %Application Data%\usercache\{file name}.exe

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它植入下列文(wén)件：

• %Application Data%\bootstrap - encrypted copy of itself

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\Run
{file name} = "%Application Data%\usercache\{file name}.exe

其他(tā)系统修改

它添加下列注册表键值:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DownloadManager

它添加下列注册表项作(zuò)為(wèi)安(ān)装(zhuāng)例程的一部分(fēn)：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
identifier = "{random 6 letters}"

后门例程

它执行遠(yuǎn)程恶意用(yòng)户的下列命令：

• Update itself
• Change interval of update requests
• Change interval of card data exfiltration
• Enable/Disable logging
• Download and execute other malware

下载例程

它使用(yòng)下列文(wén)件名(míng)保存下载的文(wén)件：

• %Application Data%\{random file name}.exe

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)