TSPY_ZBOT.USR

Wird möglicherweise von anderer Malware von Remote-Sites heruntergeladen:

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Versucht, bestimmte Websites zu öffnen. Die Websites sind jedoch zum Zeitpunkt der Entstehung dieses Textes nicht zugänglich. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von der folgender Malware von Remote-Sites heruntergeladen:

• TSPY_FAREIT.JBB

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\{random folder}\{random}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\Microsoft\Address Book\{username}.wab
• %User Temp%\tmp{random values}.bat - Deletes the initial executed copy of malware and itself

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{random folder}
• %Application Data%\Microsoft\Address Book

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder}\{random}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
(Default) = "%Application Data%\Microsoft\Address Book\{username}.wab"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 1} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 2} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 3} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 4} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 5} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 6} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 7} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 8} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 9} = "{random characters}"

Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
28577:TCP = "28577:TCP:Enabled:TCP 28577"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
17328:UDP = "17328:UDP:Enabled:UDP 17328"

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• {BLOCKED}.{BLOCKED}.226.107
• {BLOCKED}.{BLOCKED}.41.188
• {BLOCKED}.{BLOCKED}.110.7
• {BLOCKED}.{BLOCKED}.120.64
• {BLOCKED}.{BLOCKED}.60.178
• {BLOCKED}.{BLOCKED}.127.98
• {BLOCKED}.{BLOCKED}.105.169
• {BLOCKED}.{BLOCKED}.147.191
• {BLOCKED}.{BLOCKED}.65.223
• {BLOCKED}.{BLOCKED}.174.163
• {BLOCKED}.{BLOCKED}.125.105
• {BLOCKED}.{BLOCKED}.237.35
• {BLOCKED}.{BLOCKED}.220.237
• {BLOCKED}.{BLOCKED}.64.46
• {BLOCKED}.{BLOCKED}.160.200

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• {BLOCKED}.{BLOCKED}.226.107
• {BLOCKED}.{BLOCKED}.41.188
• {BLOCKED}.{BLOCKED}.110.7
• {BLOCKED}.{BLOCKED}.120.64
• {BLOCKED}.{BLOCKED}.60.178
• {BLOCKED}.{BLOCKED}.127.98
• {BLOCKED}.{BLOCKED}.105.169
• {BLOCKED}.{BLOCKED}.147.191
• {BLOCKED}.{BLOCKED}.65.223
• {BLOCKED}.{BLOCKED}.174.163
• {BLOCKED}.{BLOCKED}.125.105
• {BLOCKED}.{BLOCKED}.237.35
• {BLOCKED}.{BLOCKED}.220.237
• {BLOCKED}.{BLOCKED}.64.46
• {BLOCKED}.{BLOCKED}.160.200

Andere Details

Versucht, bestimmte Websites zu öffnen. Die Websites sind jedoch zum Zeitpunkt der Entstehung dieses Textes nicht zugänglich.

Löscht sich nach der Ausführung selbst.