TSPY_EMOTET.TN

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %System%\{string1}{string2}.exe - if run with admin privileges
• %AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe - if run without admin privileges
  {string1} and {string2} are randomly chosen from the following strings:
  
  • mute
  • aero
  • trace
  • asp
  • montana
  • key
  • router
  • mdmsg
  • prn
  • plugins
  • ref
  • duplex
  • nic
  • mheg
  • case
  • tvout
  • isvc
  • footer
  • initial
  • old
  • icons
  • entry
  • powr
  • boost
  • apply
  • wcf
  • ecl
  • cim
  • wim
  • luna
  • smx
  • mfidl
  • catch
  • export
  • royale
  • xinput
  • droid
  • channel
  • sls
  • ncl
  • look
  • sketch
  • logs
  • owin
  • prime
  • putil
  • more
  • vsix
  • enums
  • dbg
  • example
  • color
  • pack
  • voice
  • appx
  • diagram
  • pla
  • asc
  • styles
  • ding
  • oobe
  • wfd
  • cabinet
  • edge

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• PE{hash of full file path}
• Global\M{Volume serial number}

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Description = “Transfers files in the background using idle network bandwidth. If the service is disabled, then any applications that depend on BITS, such as Windows Update or MSN Explorer, will be unable to automatically download programs and other information.”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ImagePath = "%System%\{string1}{string2}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Name = “{string1}{string2}”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ErrorControl = “0”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ObjectName = “LocalSystem”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Start = “0x02”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Type = “0x10”

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe"

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}

Datendiebstahl

Folgende Daten werden gesammelt:

• Machine Name
• System Locale
• OS Version
• Running Processes

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.246.57
• http://{BLOCKED}.{BLOCKED}.176.48:443
• http://{BLOCKED}.{BLOCKED}.127.246:443
• http://{BLOCKED}.{BLOCKED}.42.25:443
• http://{BLOCKED}.{BLOCKED}.116.230:990
• http://{BLOCKED}.{BLOCKED}.201.243:995
• http://{BLOCKED}.{BLOCKED}.104.194
• http://{BLOCKED}.{BLOCKED}.54.171:8080
• http://{BLOCKED}.{BLOCKED}.173.247:8080
• http://{BLOCKED}.{BLOCKED}.12.199
• http://{BLOCKED}.{BLOCKED}.110.17:443
• http://{BLOCKED}.{BLOCKED}.182.42:8080
• http://{BLOCKED}.{BLOCKED}.170.58
• http://{BLOCKED}.{BLOCKED}.14.231
• http://{BLOCKED}.{BLOCKED}.165.108:443
• http://{BLOCKED}.{BLOCKED}.201.243:443
• http://{BLOCKED}.{BLOCKED}.213.242
• http://{BLOCKED}.{BLOCKED}.118.8:443
• http://{BLOCKED}.{BLOCKED}.207.129:443
• http://{BLOCKED}.{BLOCKED}.17.209
• http://{BLOCKED}.{BLOCKED}.214.210:443
• http://{BLOCKED}.{BLOCKED}.88.56
• http://{BLOCKED}.{BLOCKED}.89.209:8080
• http://{BLOCKED}.{BLOCKED}.131.87
• http://{BLOCKED}.{BLOCKED}.78.38:443
• http://{BLOCKED}.{BLOCKED}.131.69:8080
• http://{BLOCKED}.{BLOCKED}.170.222:8080
• http://{BLOCKED}.{BLOCKED}.218.192:4143
• http://{BLOCKED}.{BLOCKED}.1.90:995
• http://{BLOCKED}.{BLOCKED}.175.215:8090
• http://{BLOCKED}.{BLOCKED}.246.242:443
• http://{BLOCKED}.{BLOCKED}.168.27:8443
• http://{BLOCKED}.{BLOCKED}.78.9:443
• http://{BLOCKED}.{BLOCKED}.60.231:4143
• http://{BLOCKED}.{BLOCKED}.184.52
• http://{BLOCKED}.{BLOCKED}.43.125:7080
• http://{BLOCKED}.{BLOCKED}.164.23:8080