TSPY_BEBLOH.YMNOV

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware/Grayware/Spyware von externen Sites heruntergeladen:

• X2KM_POWLOAD.TIAOEGM

Wird möglicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}rama.com/hope

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Program Files%\Windows NT\{random string}.exe
  (Note: Creation of this copy is triggered when the affected system is shutting down)

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust die folgenden Dateien ein:

• {Malware Path}\mp

Fügt die folgenden Prozesse hinzu:

• explorer.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Uz{Random Hex}

Injiziert Code in die folgenden Prozesse:

• created explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%Program Files%\Windows NT\{random string}.lnk"
(Note: Creation of this registry entry is triggered when the affected system is shutting down)

Schleust die folgenden Dateien ein:

• %Program Files%\Windows NT\{random string}.lnk <- points to the copy
  (Note: Creation of this file is triggered when the affected system is shutting down, appends parameter "-autorun" to executed copy)

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\{random key}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\{random key}
(Default) = {hex values}

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\olex.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Trend Micro erkennt die heruntergeladene Datei als:

• TSPY_URSNIF.TIBAIAR

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}ran.com/auth/?tver={value}&vcmd={value}&cc={value}&hh={Hex Value}&ipcnf={Ip address}+&sckport={value}&pros={value}&keret={value};&email={value}

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {Random Generated Domain}.com
• {Random Generated Domain}.net
• {BLOCKED}ran.com/auth/