TSPY_ZBOT.SMIG

Um einen Überblick über das Verhalten dieser Spyware zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird möglicherweise von anderer Malware eingeschleust.

Ändert Sicherheitseinstellungen von Internet Explorer. Hierdurch ist der betroffene Computer stärker gefährdet, da er auf bösartige URLs zugreifen kann.

Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennwörter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• TSPY_ZBOT.ZKW

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\{random folder 2}\{random file name}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %System Root%\debug.txt
• %Application Data%\{random folder 1}\{random file name}.{random extension}
• %Application Data%\Microsoft\Address Book\{user name}.wab
• %Application Data%\Microsoft\Address Book\{user name}.wab~

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{random folder 1}
• %Application Data%\{random folder 2}
• %Application Data%\Microsoft\Address Book

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder 2}\{random file name}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{random}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
(Default) = "%Application Data%\Microsoft\Address Book\{user name}.wab"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Download-Routine

Lädt eine aktualisierte Kopie von sich selbst von folgenden Websites herunter:

• http://{BLOCKED}arkbot.com/arxl/chithre/bot.exe

Datendiebstahl

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Allied Irish Banks
• ANZ
• Banca Intesa
• Bancaja
• Banco Mediolanum
• Banco Pastor
• Banco Popular
• Banco Sabadell
• Banesto
• Banif
• Bank of America
• Banque Populaire
• Barclays
• BBVANet Office
• Business Bank of Turkey
• Caixa Girona
• Caixa Laietana
• Caixa Ontinyent
• Caixa Sabadell
• Caixa Tarragona
• Caja Badajoz
• Caja de Avila
• Caja Granada
• Caja Laboral
• Caja Madrid
• Caja Murcia
• Caja Rioja
• Caja Vital
• CajaCanarias
• Cajacirculo
• Cajasol
• Cards Online
• CCM
• Chase
• Citibank
• Citizens Bank
• Clavenet
• Clydesdale Bank
• Co-operative Bank
• DAB Bank
• E-gold
• Ebay
• Fifth Third Bank
• First Direct
• Gruppo Carige
• Halifax
• HSBC
• Inbiz
• IW Bank
• Keeper Light - WebMoney
• Lloyds TSB
• Monte Dei Paschi Di Siena
• National City
• Nationwide
• NatWest
• Norisbank
• Openbank
• Paypal
• Poste Italiane
• ProCredit Bank
• Qui UBI
• Relax Banking
• Royal Bank of Scotland
• RuPay
• Sabadell Atlantico
• Santander
• SCRIGNO
• Sec Servizi
• Smile
• SunTrust
• TD Canada Trust
• U.S. Bank
• Unicaja
• Uno-e
• Wachovia
• Washington Mutual
• Wells Fargo
• Yandex
• Yorkshire Bank

Folgende Daten werden gesammelt:

• Personal certificates

Einschleusungspunkte

Entwendete Daten werden auf die folgenden Websites hochgeladen:

• http://{BLOCKED}arkbot.com/arxl/chithre/gate.php