TROJ_ZBOT.BYM

Versucht, Daten von Banken oder Geldinstituten, die in einer Liste aufgeführt sind, zu erhalten:

Infektionspunkte

Gelangt auf das System in Form einer Datei, die von den folgenden URLs heruntergeladen wurde:

• http://drtyyyt.ru/zeustracker.abuse.ch/cgi-bin/ch.exe

Installation

Erstellt die folgenden Ordner:

• %Application Data%\{random1}
• %Application Data%\{random2}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{5BEFF50D-D6EE-01EC-61D4-279E7A06BA6C} = %Application Data%\{random1}.exe

Schleust die folgenden Dateien ein:

• %Application Data%\{random1}.exe
• %Application Data%\{random2}.vyy

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{default} =  

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://noprtus.ru/zeustracker.bin
• http://drtyyyt.ru/zeustracker.abuse.ch/cgi-bin/ch.png

Die heruntergeladene Datei enthält Informationen, wo die Malware eine aktualisierte Kopie von sich selbst herunterladen kann und wohin die entwendeten Daten gesendet werden sollen.

Beachten Sie, dass der Inhalt der Datei, d. h. die Liste der zu überwachenden Websites, jederzeit geändert werden kann.

Angegriffene Elemente

Versucht, Daten von Banken oder Geldinstituten, die in einer Liste aufgeführt sind, zu erhalten:

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}t.ru/zeustracker.abuse.ch/cgi-bin/blocklist.php

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Attempts to retrieve information from the following list of banks/financial institutions: ANZ, Commerzbank, Fiducia, HSBC, Microsoft, Raiffeisen, SEB and Santander

Informationen über Varianten

Verfügt über folgende MD5-Hash-Werte:

• 9dce61f925e128d818d19545ca681236

Verfügt über folgende SHA1-Hash-Werte:

• 44b1d7f4c73c04d6dc8ce5acbd6ec2a1815bceb2