RAT Überprüfung

Netwxrk

Guten Tag Community,

Hab mir mal aus einem Forum den Pony 1.9 Stealer heruntergeladen. und diesen habe ich dann per Sandboxie ausgeführt (PonyBuilder.exe). Die PonyBuilder.exe ging, kommte damit Builden etc. Jedoch wollte ich es heute Abend genauer angucken, weil ich weg musste. Aber seitdem kommt jede 2 Minute auf meinen Desktop eine Fehlermeldung, die mir besagt:

"basecsp reagiert nicht, warten auf rückmeldung"

Naja, habe mir anfangs nichts dabei gedacht, jedoch war es schon komisch weil die basecsp.exe garnicht in dem Ponyordner (bzw. sie generell bei keinem Ordner) dabei war.



Das war der Ordner & noch das Webpanel. Davon hab ich nur die PonyBuilder.exe per Sandboxie gestartet.

Also, habe ich dann noch ein komischen Pfad gefunden, mit "upd.exe" & "Pony.exe" -> beide haben so ziemlich identische Icons. Doch als ich bei denen beide auf "Eigenschaften" gedrückt habe stand noch das die irgendwie mit der basecsp.exe verknüpft sind. Jedoch habe ich die beide Dateien nicht gestartet, lediglich nur die Ponybuilder.exe. Ich weiß jetzt nicht ob die Ponybuilder.exe 'nen RAT ist (obwohl die funktioniert hat) Vielleicht könnt ihr mir mehr sagen.




Naja, das irritiert mich alles ein bisschen. Vielleicht findet ihr ja etwas. Deswegen das Thema "RAT Überprüfung" :/
Zudem muss noch gesagt werden: Ich habe mich noch nie richtig mit Malware/RAT's/Stealer" befasst, deswegen bin ich in dem Bereich der absolute Anfänger. Jedoch Interessiert es mich, weswegen ich mir alles genauer anschauen will.

Und ich muss noch dazu sagen, dass bei dem Forum wo ich es heruntergeladen habe, nur Positive Feedbacks waren, bzw keiner sich Beschwert hat. Was mich recht wundert.

€: Hab durch anderen Foren mitbekommen das es tatsächlich ein RAT ist.

Pony.exe:
- Hook in svchost.exe
- Autorun
- VT 39/57 https://www.virustotal.com/de/file/368685ecaf854ee3194c63a87df8bdc7bb90e329f29f566ce01d5665b8a972cd/analysis/1424368245/
- stellt eine Verbindung zu darkbyte.serveftp.com her -> 204.95.99.109


upd.exe:
- stellt eine Verbindung zu 46.246.87.92, 66.171.248.172, 5.135.127.68 her
- sammelt Daten (u.a. Passwoerter vom IE)
- droppt 6 verschiedene Dateien (pidloc.txt, wbemprox.log, holderwb.txt, pid.txt, holdermail.txt, rsaenh.dll)
-> letztere dient der Verschluesselung
- Autorun
- VT 39/57 https://www.virustotal.com/de/file/d91a4b5d512a6d591cd0a116e671f5d7748a9739ff0b7c8a95e0ea1d1c0cda10/analysis/1424368224/

Zudem die Analyse von der Ponybuilder.exe:
https://anubis.iseclab.org/?action=result&task_id=1bf848ff65edf1d14714fc389a4d9f2ff&format=html

So, jetzt ist es wohl bestätigt. Wie gehe ich nun am besten vor?
Paar Informationen: Dieses Programm habe ich gestern um 18:00 hochgeladen.
Ich will keine Neuinstallation durchführen.

Währe ein Backup möglich? (Vor das starten des RAT's)


Downloadlink: uploaded.net/file/zn8rrrz8