BKDR_KASIDET.FD

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。它开始执行然后再删除。

安装

它添加下列文件夹：

• %Application Data%\Y1FeZFVYXllb

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它在受感染的系统中植入下列自身副本：

• %Application Data%\Y1FeZFVYXllb\{random filename}.exe

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它添加下列互斥条目，确保一次只会运行一个副本：

• Y1FeZFVYXllb

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\Y1FeZFVYXllb\{random filename}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\Y1FeZFVYXllb\{random filename}.exe"

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\MWZLesson

HKEY_CURRENT_USER\Software\MWZLesson\
Addr

它添加下列注册表项：

HKEY_CURRENT_USER\Software\MWZLesson
rate = "{value}"

HKEY_CURRENT_USER\Software\MWZLesson
{random digits} = "{value}"

HKEY_CURRENT_USER\Software\MWZLesson
arr = "Base-64 of URL"

后门例程

它执行远程恶意用户的下列命令：

• Download and Execute Files (vbs, dll, exe)
• Update itself
• Uninstall itself
• Find File
• Perform Remote Shell
• Performs DDOS attack

However, as of this writing, the said sites are inaccessible.

信息窃取

它收集下列数据:

• ComputerName
• OS Version
• Machine GUID

其他详细信息

它在执行后自行删除。