TSPY_MINOCDO.A

Um einen Überblick über das Verhalten dieser Spyware zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Ändert die HOSTS-Datei des betroffenen Systems. Dadurch können Benutzer nicht mehr auf bestimmte Websites zugreifen.

Ruft bestimmte Informationen vom betroffenen System ab.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Fügt die folgenden Ordner hinzu:

• {OS depended directory}\cddnivot

Schleust folgende Komponentendateien ein:

• {OS dependent directory}\cddnivot\cfg - encrypted config file
• {OS dependent directory}\cddnivot\etc
• {OS dependent directory}\cddnivot\ihst
• {OS dependent directory}\cddnivot\lck
• {OS dependent directory}\cddnivot\por
• {OS dependent directory}\cddnivot\rng
• {OS dependent directory}\cddnivot\run
• {OS dependent directory}\cddnivot\tst

Schleust die folgenden Eigenkopien in das betroffene System ein:

• {OS dependent directory}\capbepfn.exe
• {OS dependent directory}\azlwpsbcwya.exe
• %User Temp%\i5wfyrpl{random characters}.exe
• %Temp%\i5wfyrpl{random characters}.exe - for Windows OS other than Vista and 7

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
Type = "110"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ImagePath = "%System%\capbepfn.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
DisplayName = "UserMode Protection PNRP Services Machine Remote"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ObjectName = "LocalSystem"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Browser Studio WWAN Installer Location = "%System%\capbepfn.exe"

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote

Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\capbepfn.exe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Änderung der HOSTS-Datei

Ändert die HOSTS-Datei des betroffenen Systems, damit Benutzer nicht mehr auf die folgenden Websites zugreifen können:

• 127.0.0.1 www.facebook.com
• 127.0.0.1 facebook.com

Datendiebstahl

Die Konfigurationsdatei enthält die folgenden Informationen:

• Other URLs to access
• URL to Intercept
• URL for Redirection

Ruft folgende Informationen vom betroffenen System ab:

• CPU Information
• Notification of the affected system's successful C&C server connection

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}ernothing.net/fb/?session={session number}

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}cclub-grup.com