TSPY_URSNIF.YYSYR

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\{random folder name}\{random filename}.bat ← used to execute copy and delete itself

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{string1}{string2}
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Local\{GUID}

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• opera.exe
• chrome.exe
• iexplore.exe
• firefox.exe

Beendet die Ausführung der zunächst ausgeführten Kopie und führt stattdessen die eingeschleuste Kopie aus.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
appmprx6 = %Application Data%\{string1}{string2}\{string1}{string2}.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Vars

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Files

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Config

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{Value Name} = "{hex value}"
where {Value Name} may be any of the following:

• Block
• Client
• Install
• LastTask
• LastConfig
• CrHook
• OpHook
• NetCfg
• LastIni

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{UID} = "{hex value}"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Einschleusungsroutine

Schleust die folgenden Dateien ein, in denen sie ihre gesammelten Daten speichert:

• %User Temp%\{random filename}.bin

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• Digital Certificates
• Cookies
• Keyboard Logs
• Clipboard Logs
• Captured Screenshot
• Email Credentials
• Running processes and services
• Installed device drivers
• Installed Programs
• System Information (Please see notes for more details)

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{domain}/images/{random path}.{bmp} where {domain} can be any of the following:
  • {BLOCKED}ibombivasebut45.com
  • {BLOCKED}199meiwww.com
  • {BLOCKED}diwjdwdwd198.com
  • {BLOCKED}ekieh120.com

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}eeeiewkw.com/ttt/ready37.bin
• http://{BLOCKED}eeeiewkw.com/ttt/config.sig
• http://{domain}/images/{random path}.{gif/jpeg}where {domain} can be any of the following:
  
• {BLOCKED}ibombivasebut45.com
• {BLOCKED}199meiwww.com
• {BLOCKED}diwjdwdwd198.com
• {BLOCKED}ekieh120.com