TSPY_DYRE.LED

Wird möglicherweise von anderer Malware eingeschleust.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• TROJ_UPATRE.LED

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\pen3j3832h

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
DisplayName = "Google Update"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
Start = "2"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge (for Windows XP and below)

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(Note: The default value data of the said registry entry is 1.)

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\config\systemprofile\Application Data\bq5uzce1f3.dll (for Windows XP and below)
• %AppDataLocal%\bq5uzce1f3.dll (for Windows Vista and above)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.181.148:4443
• http://{BLOCKED}.{BLOCKED}.122.31:443
• http://{BLOCKED}.{BLOCKED}.138.75:443
• http://{BLOCKED}.{BLOCKED}.53.23:443
• http://{BLOCKED}.{BLOCKED}.249.18:443
• http://{BLOCKED}.{BLOCKED}.235.251:443
• http://{BLOCKED}.{BLOCKED}.70.129:443
• http://{BLOCKED}.{BLOCKED}.7.203:443
• http://{BLOCKED}.{BLOCKED}.97.66:443
• http://{BLOCKED}.{BLOCKED}.91.127:4443
• http://{BLOCKED}.{BLOCKED}.223.146:4443
• http://{BLOCKED}.{BLOCKED}.11.255.199:4443
• http://{BLOCKED}.{BLOCKED}.80.111:443
• http://{BLOCKED}.{BLOCKED}.19.156:443
• http://{BLOCKED}.{BLOCKED}.17.201:4443
• http://{BLOCKED}.{BLOCKED}.20.98:4443
• http://{BLOCKED}.{BLOCKED}.194.202:443
• http://{BLOCKED}.{BLOCKED}.189.92:443
• http://{BLOCKED}.{BLOCKED}.191.222:443
• http://{BLOCKED}.{BLOCKED}.191.70:443
• http://{BLOCKED}.{BLOCKED}.20.145:4443
• http://{BLOCKED}.{BLOCKED}.231.42:4443
• http://{BLOCKED}.{BLOCKED}.146.91:4443
• http://{BLOCKED}.{BLOCKED}.145.138:4443
• http://{BLOCKED}.{BLOCKED}.204.113:443
• http://{BLOCKED}.{BLOCKED}.38.6:4443
• http://{BLOCKED}.{BLOCKED}.2.165:443
• http://{BLOCKED}.{BLOCKED}.65.224:4443
• http://{BLOCKED}.{BLOCKED}.97.45:443
• http://{BLOCKED}.{BLOCKED}.121.140:443
• http://{BLOCKED}.{BLOCKED}.97.54:443
• http://{BLOCKED}.{BLOCKED}.220.102:4443
• http://{BLOCKED}.{BLOCKED}.230.117:443
• http://{BLOCKED}.{BLOCKED}.48.221:443
• http://{BLOCKED}.{BLOCKED}.204.3:443
• http://{BLOCKED}.{BLOCKED}.172.200:443
• http://{BLOCKED}.{BLOCKED}.37.42:4443
• http://{BLOCKED}.{BLOCKED}.139.42:4443
• http://{BLOCKED}.{BLOCKED}.214.40:4443
• http://{BLOCKED}.{BLOCKED}.216.5:4443
• http://{BLOCKED}.{BLOCKED}.239.98:4443
• http://{BLOCKED}.{BLOCKED}.131.104:4443
• http://{BLOCKED}.{BLOCKED}.2.169:443
• http://{BLOCKED}.{BLOCKED}.197.77:4443

Löscht sich nach der Ausführung selbst.