BKDR_KASIDET.XXRO

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %Windows%\Tasks\WlVjY2kx.job
• %Windows%\kernel32.dll
• %Systems%\Tasks\WlVjY2kx

(注意: %Windows% 是 Windows 文(wén)件夹，通常位于 C:\WINDOWS 或 C:\WINNT。)

它在受感染的系统中(zhōng)植入下列自身副本：

• %Application Data%\WlVjY2kx\{random filename}.exe

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它创建下列文(wén)件夹：

• %Application Data%\WlVjY2kx\

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它添加下列互斥条目，确保一次只会运行一个副本：

• WlVjY2kx

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\WlVjY2kx\{random filename}.exe" ← (if user is Admin)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\WlVjY2kx\{random filename}.exe"

后门例程

它执行遠(yuǎn)程恶意用(yòng)户的下列命令：

• Download and Install Plugin
• Delete the registry key HKEY_CURRENT_USER\Software\WlVjY2kx\Addr
• Download and Execute Files (.vbs, .dll)
• Find Files and Process
• Update itself
• Uninstall itself
• Modify the registry entries of HKEY_CURRENT_USER\Software\WlVjY2kx\rate
• Performs DDOS attack
• Log Keystrokes
• Copy Clipboard

信息窃取

它收集下列数据:

• OS Version
• Machine GUID
• Installed AV Software